Cisco ASA sí Azure VPN: àwọn bára pípé tó ń yan ọ̀nà ìrìnàjò

Tunnel náà gòkè, IKE dà bíi pé ó yá, ṣùgbọ́n kò sí ohun tó ń gba inú rẹ̀. Èyí ni ìrísí ìwọ̀nba ìṣòro yíyan ASA sí Azure, ìdí ni mo fi kọ àdéhùn kí n tó fi ọwọ́ kan kọ́nsọ̀ọ̀lù èyíkéyìí. Àdéhùn náà jẹ́ ohun mẹ́rin: àwọn ohun tó ń dá peer kọ̀ọ̀kan mọ̀, àwòrán ìsopọ̀, àwọn bára pípé tó péye, àti ìjẹ́rìí tó ń fi bára kọ̀ọ̀kan hàn. Tí ẹ bá ṣàṣìṣe níbí, gbogbo àṣẹ tó tẹ̀lé yóò ṣàtúnṣe ìṣètò tí ẹ kò gbọdọ̀ kọ́. Ìwé ìtọ́sọ́nà yìí ni ìtòlẹ́sẹẹsẹ tí mo ń lò, pẹ̀lú àwọn àṣẹ tó fi hàn pé ohun wo ni ó ṣàṣìṣe gan-an.

Kọ ohun mẹ́rin kí ẹ tó ṣètò

Bẹ̀rẹ̀ pẹ̀lú ìtújáde àti pẹpẹ ASA, ibi ìparí gbogbo ènìyàn, irú àti SKU ẹnubodè Azure VPN, àti ẹnubodè nẹ́tíwọ́kì àdúgbò tó dúró fún ẹ̀gbẹ́ yín. Àwọn orúkọ mẹ́rin yẹn ni ọ̀rọ̀ fún gbogbo ohun tó ń bọ̀, ẹnìkan kọ̀ọ̀kan sì ní olùdájọ́ ọ̀tọ̀ nígbà tí ohun kan bá já.

Tí méjì nínú wọn ṣì jẹ́ àbájáde ìrònú, dúró. Àkójọ pípé tó ṣàṣìṣe lórí ẹnubodè nẹ́tíwọ́kì àdúgbò kì í ṣe ìṣòro títúnṣe.

Yan àwòrán ìsopọ̀ kan kí ẹ sì dá ìdàpọ̀ àwọn àwòrán dúró

Àpẹẹrẹ crypto map àti àpẹẹrẹ tunnel interface jẹ́ ìṣètò ọ̀tọ̀ọ̀tọ̀, àpẹẹrẹ ọ̀kan kì í sì di wíwúlò fún èkejì nípa yíyí àdírẹ́sì peer padà. Kọ èyí tí ẹ ń kọ́ kí ẹ tó lẹ̀ ohunkóhun mọ́, nítorí àìbáramu yóò farahàn lẹ́yìn náà gẹ́gẹ́ bí ìṣòro yíyan kì í ṣe àṣìṣe ìṣètò. Ìtọ́sọ́nà ìbáṣepọ̀ ASA ti Microsoft bo àwọn àpẹẹrẹ méjèèjì ó sì sọ irú àwòrán ẹnubodè Azure tí ọ̀kọ̀ọ̀kan ń rò. Tí àwọn àkọsílẹ̀ yín kò bá dárúkọ àwòrán náà, ẹ kò tíì ní àpẹẹrẹ.

Ẹnubodè Azure tó dá lórí ọ̀nà pẹ̀lú àwọn yíyan ìrìnàjò tó dá lórí ìlànà jẹ́ àṣàyàn pàtó tí a kọ sílẹ̀, kì í ṣe àìdánimọ̀. Tí àpẹẹrẹ yín bá gbára lé e, àpẹẹrẹ gbọdọ̀ sọ bẹ́ẹ̀, nítorí àwòrán yíyan àìdánimọ̀ tó dá lórí ọ̀nà ń hùwà yàtọ̀ ní ẹ̀gbẹ́ Azure.

Àwọn ààlà ẹ̀yà kan náà wà nínú àdéhùn. Ìròyìn pápá àtijọ́ nípa ààlà àwọn agbègbè ìpamọ́ jẹ́ dátà nípa àwọn ìtújáde pàtó, kì í ṣe ẹ̀yà àìlópin ti gbogbo ASA.

Ka àwọn bára pípé, kì í ṣe àkójọpọ̀

Kọ matrix náà. Láti A àti B inú ilé sí X àti Y Azure jẹ́ bára mẹ́rin, ọ̀kọ̀ọ̀kan sì nílò ìbòjú tàbí ìyọkúrò tó ṣe kedere. Pípọ̀ A àti B pọ̀ sí àkójọpọ̀ kan yóò tún kan gbogbo ohun tó wà láàrin wọn, bẹ́ẹ̀ ni àpẹẹrẹ ń gbin ihò ní ìdákẹ́jẹ́.

Ṣàyẹ̀wò ohun tí àwọn peer ti pinnu, kì í ṣe ohun tí ẹ fipamọ́. Àkójọ nẹ́tíwọ́kì àdúgbò àti ọ̀nà jìnà lórí ASA jẹ́ èrò; CHILD SA ni àbájáde.

Nígbà tí bára kan kò sí, àtúnṣe sábà máa ń jẹ́ ìlà access-list tàbí àkọsílẹ̀ yíyan, kì í ṣe tunnel tuntun.

Fi àwọn àṣẹ tó dárúkọ ohun náà ṣe ìjẹ́rìí

Lórí ASA jẹ́rìí ìpàdé IKE, lẹ́yìn náà àwọn SA IPsec, lẹ́yìn náà àwọn bára yíyan. Àṣẹ kọ̀ọ̀kan ń dáhùn ìbéèrè ọ̀tọ̀ọ̀tọ̀, àti ṣíṣe àkọ́kọ́ nìkan ni ọ̀nà tí «tunnel ti gòkè» fi di ìparí èrò tí kò tọ́. Ka ìjáde fún peer tí ẹ kó ṣètò gan-an, kì í ṣe SA tó ṣẹ̀ṣẹ̀ wà ní ipò àkọ́kọ́ nínú àkójọ. Ẹ̀gbẹ́ Azure ń dáhùn àwọn ìbéèrè mẹ́ta kan náà láti ojú ìwòye rẹ̀.

show crypto ikev2 sa detailed
show crypto ipsec sa peer 203.0.113.10
show run access-list AZURE-SELECTORS
packet-tracer input inside icmp 10.1.10.10 8 0 10.2.20.20 detailed

Lẹ́yìn náà béèrè lọ́wọ́ Azure nípa ipò ìsopọ̀ pẹ̀lú az network vpn-connection show --name <connection> --query connectionStatus. Ìsopọ̀ pẹ̀lú ọ̀fẹ́ byte nínú ọ̀nà dátà jẹ́ ìṣòro yíyan, kì í ṣe ìṣòro ọ̀nà.

Dán ìṣàn kan tí a gbà laaye fún bára kọ̀ọ̀kan wò, ṣàyẹ̀wò àdírẹ́sì orísun tí a rí ní ẹ̀gbẹ́ kejì, kí ẹ sì gbìyànjú ohun kan tí ó yẹ kí a kọ̀. Ìdánwò ìkẹyìn yẹn nìkan ni ó ń fi hàn pé ààlà ṣì wà.

Ya ìwọ̀n ìpamọ́ sọ́tọ̀ kúrò nínú àṣẹ wíwọlé

Yíyan gbòòrò kì í ṣe àṣẹ. Tí ìtòlẹ́sẹẹsẹ tí a ṣe àtìlẹ́yìn bá gbòòrò ju ìlànà ohun èlò lọ, pa àwọn iṣẹ́ tó hára mọ́ nínú àwọn òfin firewall kí ẹ sì fi ìwọ̀n ìpamọ́ síbi tí ó gbọdọ̀ wà.

Àwọn ọ̀nà ẹrù iṣẹ́ Azure àti àwọn ọ̀nà ìpadà sí ilé ni a ń ṣàyẹ̀wò lọ́tọ̀. Àwọn ìkéde BGP, ìwọ̀n nẹ́tíwọ́kì dúró àti àwọn ọ̀nà tí olùlò ṣàlàyé gbọdọ̀ ṣàpèjúwe ọ̀nà kan náà, kò sì sí ọ̀kan nínú wọn tó lè gba ìrìnàjò peer lẹ́ẹ̀mejì.

Ìpadàsẹ́yìn àti ẹ̀rí pé ó ṣiṣẹ́

Fi ìṣètò tó ń ṣiṣẹ́ tẹ́lẹ̀ pamọ́ kí ẹ tó yí àwọn yíyan padà, kí ẹ sì mọ àṣẹ kan tó ń mú un padà. Lórí ASA ìyẹn túmọ̀ sí ẹ̀dà tí a fipamọ́ àti ọ̀nà ìmúpadà tó bá mu, kì í ṣe ìrántí ohun tí ẹ ṣàtúnṣe. Kọ àṣẹ ìmúpadà sínú tikẹ́ẹ̀tì ìyípadà nígbà tí ìyípadà ṣì jẹ́ àròsọ. Lẹ́yìn náà tún àwọn àyẹ̀wò mẹ́ta kan náà ṣe: ipò IKE, àwọn bára SA IPsec, ìṣàn kan tí a gbà laaye fún bára kọ̀ọ̀kan.

Tí bára kan bá ṣì kùnà lẹ́yìn ìmúpadà, ìyípadà kì í ṣe ìdí, ẹ sì ti gba ara yín lọ́wọ́ ìdàrúdà kejì.