Ọ̀nà àìpẹ̀yà tunneled lórí Cisco ASA: ìgbà wo ni ó ń lò gan

Olùṣàmúlò ìwọlé àárọ̀ kò dé ohunkóhun lẹ́yìn ASA nígbà tí server kan náà ń dáhùn àwọn ping láti inú LAN. Ọ̀nà tunnel ga, client gba àdírẹ́sì láti inú pool, ṣùgbọ́n packet ṣì ń jáde nípasẹ̀ ọ̀nà àìpẹ̀yà intanẹ́ẹ̀tì tàbí ó ń pàdánù. Irú àpẹẹrẹ yìí sábà túmọ̀ sí pé trafíìkì tí a ti túmọ̀ kò rí ọ̀nà tirẹ̀, ó sì ṣubú sí ọ̀nà àìpẹ̀yà lasan. Àtúnṣe kì í ṣe òfin NAT mìíràn; àtúnṣe ni ọ̀nà àìpẹ̀yà tunneled.

Bẹ̀rẹ̀ pẹ̀lú àmì àìsàn, kì í ṣe pẹ̀lú ìṣètò

Wo ibi tí packet ń lọ, kì í ṣe ibi tí o retí pé kí ó lọ. Gbígbà packet lórí interface òde nígbà ìpàdé tí ó kùnà fi hàn pé packet tí a ti túmọ̀ ń lọ sí ọ̀nà gateway ISP pẹ̀lú àdírẹ́sì pool tí ó ṣì wà lẹ́sẹ̀, tàbí kò fi ohunkóhun hàn nítorí pé ìwádìí kùnà. Nínú ọ̀nà méjèèjì tunnel kì í ṣe ìṣòro náà.

Tunnel dà bí ẹni tí ó ní ìlera nínú show vpn-sessiondb, ìdí niyẹn ni àwọn ènìyàn fi ń tẹ̀síwájú láti ṣàtúnyẹ̀wò IKE.

Ohun tí ó yà á sótọ̀ kúrò nínú ìlọ́bápadà ACL ni ìtọ́sọ́nà. Ìlọ́bápadà ACL ń di àkọsílẹ̀ àti kíkà, nígbà tí ọ̀nà tí ó kù ń dá ìkùnà ìwádìí láìsí àkọsílẹ̀ tí ó bá a mu. Ṣe show route fún ibi ìlọ́ náà ti client kí o sì kà ohun tí ASA yàn gan, pẹ̀lú bóyá a yan ọ̀nà àìpẹ̀yà kan àti èwo.

Báwo ni ìwádìí tunneled ṣe yàtọ̀

Ìtọ́sọ́nà Cisco fún ọ̀nà static lórí ASA 9.23 ṣàlàyé ọ̀nà àìpẹ̀yà ọ̀tọ̀ fún trafíìkì VPN tí a ti túmọ̀ tí kò ní ọ̀nà static tàbí èyí tí a kọ́. Ọ̀rọ̀ kọ́kọ́ tunneled ń sàmì sí ọ̀nà yẹn, nítorí náà packet tí a ti túmọ̀ lè ṣubú sí ìgbésẹ̀ mìíràn tí ó tẹ̀lé e yàtọ̀ sí èyí tí ASA ń lò fún gbígbé tirẹ̀. Àwọn ọ̀nà pàtó síi ṣì ń bọ́ sílẹ̀, ìdí niyẹn ni client fi lè dé 10.0.0.0/8 nípasẹ̀ gateway inú kí ó sì pàdánù gbogbo ohun mìíràn.

Ìṣètò tí ó kéré jù ń tọ́jú ọ̀nà àìpẹ̀yà méjì pẹ̀lú àwọn ìgbésẹ̀ tí ó tẹ̀lé e tí ó yàtọ̀. Ọ̀kan ń gbé trafíìkì ASA fúnra rẹ̀, èkejì ń gbé trafíìkì tí a ti túmọ̀ tí kò ní ọ̀nà tí ó dára jù. Àwọn ìgbésẹ̀ méjèèjì tí ó tẹ̀lé e ṣì gbọdọ̀ dé ọ̀dọ̀ wọn láti interface tí o so wọ́n mọ́.

route outside 0.0.0.0 0.0.0.0 198.51.100.1
route outside 0.0.0.0 0.0.0.0 10.20.30.1 tunneled

Bí àwọn ọ̀nà àìpẹ̀yà méjèèjì bá tọ́ka sí ìgbésẹ̀ kan náà tí ó tẹ̀lé e, ọ̀rọ̀ kọ́kọ́ kò yí ohunkóhun padà, àmì àìsàn náà kò sì ní ṣe ìgbé.

Àwọn ìdínà tí ó pinnu bóyá yóò ṣiṣẹ́

Ìtọ́sọ́nà kan náà gba ọ̀nà àìpẹ̀yà tunneled kan ṣoṣo láàyè, ó sì sọ pé ECMP kò ní àtìlẹ́yìn fún un, nítorí náà o kò lè pín ẹrù lórí ọ̀nà yẹn. Ó tún tọ́ka àwọn ìdínà tí ó ní í ṣe pẹ̀lú ìtọpinpin ọ̀nà, ìjẹ́rìí ọ̀nà ìpadà, àti àwọn ìṣàn ìṣàyẹ̀wò àti ìṣàkóso kan. Ka wọ́n ní ìfiwéra pẹ̀lú ìtújáde tí o ti fi sórí ẹ̀rọ rẹ kí o tó ṣe àpẹẹrẹ yí ká ẹ̀yà yìí. Àpẹẹrẹ tí kò ka wọ́n sí sábà kùnà ní ibi kan pàtó, kì í ṣe ní gbogbo ibi, ìdí niyẹn ni àmì àìsàn fi dà bí ẹni tí ń wá lẹ́ẹ̀kọ̀ọ̀kan.

Ìjẹ́rìí ọ̀nà ìpadà ni ó ń bura nínú àwọn àpẹẹrẹ aláìdọ́gba. Bí ìdáhùn bá dé nípasẹ̀ interface mìíràn yàtọ̀ sí èyí tí ASA ń retí, a máa kó packet náà nù kí ìtọ́sọ́nà tó di pàtàkì. Tún topology tàbí ọ̀nà ìpadà ṣe dípò kí o pa ìjẹ́rìí náà, kí o lè fi ìgbésẹ̀ tí ó tẹ̀lé e mú.

Ìtọpinpin ọ̀nà jẹ́ ẹ̀wọ̀n ọ̀tọ̀: ohun tí a ń tọpinpin sábà ń ṣọ́ ọ̀nà àìpẹ̀yà lasan, kì í ṣe èyí tunneled.

Ohun tí ọ̀rọ̀ kọ́kọ́ kò ṣe

Kò yan àdírẹ́sì orísun tí ASA ń lò láti kọ́ IKE. Ìparí tunnel òde ń tẹ̀lé yíyan interface àti orísun ti pẹ̀tẹ́lì fúnra rẹ̀, ọ̀nà àìpẹ̀yà tunneled kò sì ní ìpín nínú ìpinnu yẹn. Yíyí i padà kò ní tún phase 1 tí ó bẹ̀rẹ̀ láti àdírẹ́sì tí kò tọ́ ṣe.

Bẹ́ẹ̀ ni kò yí ìgbésẹ̀ tí ó tẹ̀lé e padà sí proxy. Bí ibi ìlọ́ náà bá ń retí ìpààrọ̀ HTTP CONNECT, fífi àwọn packet IP àìtúnṣe ránṣẹ́ sí host proxy kò fún ọ ní ohunkóhun ju host tí kò ń tọ́ àwọn packet náà lọ. Dípò bẹ́ẹ̀, ṣètò ẹ̀rọ proxy tí client ń ṣe àtìlẹ́yìn fún.

Kò sì dá ìgbékalẹ̀ sí ìsàlẹ̀. Gateway tí o tọ́ka sí ṣì nílò ọ̀nà ìpadà sí pool VPN, pẹ̀lú ìtúmọ̀ orísun níbi tí àpẹẹrẹ bá béèrè fún un.

Jẹ́rìí ọ̀nà náà láti ìbẹ̀rẹ̀ dé ìparí

Lẹ́yìn tí ọ̀nà bá ti wà, ṣàyẹ̀wò ohun mẹ́rin ní ìtẹ̀lé: show route fún ibi ìlọ́ tí pool nílò, gbígbà packet lórí interface tí ó lọ sí ìgbésẹ̀ tuntun tí ó tẹ̀lé e, gbígbà packet lórí gateway fúnra rẹ̀, àti ọ̀nà ìpadà láti gateway yẹn sí àdírẹ́sì pool. Àwọn méjì àkọ́kọ́ fi hàn pé ASA yan ọ̀nà náà, àwọn méjì tí ó kẹ́yìn fi hàn pé ẹnìkan ń dáhùn níbẹ̀.

Bí gateway bá ń dáhùn ṣùgbọ́n client kò rí ìdáhùn rárá, wo ìtúmọ̀ orísun àti ọ̀nà ìdáhùn kí o tó tún kan tábìlì ìtọ́sọ́nà.

Kọ ìtújáde tí o fi jẹ́rìí sílẹ̀, nítorí àkójọ àwọn ìdínà yàtọ̀ ní ìbámu pẹ̀lú ẹ̀yà, àpẹẹrẹ tí ó ṣiṣẹ́ lórí ọkọ̀ kan lè nílò ọ̀nà mìíràn lórí òmíràn. Àkọsílẹ̀ yẹn ń gbé pẹ́ ju àkópọ̀ ìṣètò lọ.