Bí a ṣe lè ṣe àwòrán ìsàn VPN pẹ̀lú ASA packet-tracer

Packet-tracer lórí ASA dáhùn ìbéèrè tó há: ṣé a máa gba kọ̀mpútà yìí, tó wọlé níbí pẹ̀lú tuple yìí, àti ibo ni yóò lọ. Kò dáhùn bóyá ìpẹ̀kun jìnnà máa gba nǹkan. Àṣìṣe tó wọ́pọ̀ ni fífi tuple IKE ìta wọlé nígbà tí ohun tí o fẹ́ dán wò jẹ́ ohun èlò tó ń rìn nínú ìhò. Tọ́ tuple kọ́, ka àwọn ìpele, kí o sì gba ẹ̀rí gidi fún gbogbo ohun tí ẹ̀rọ ìfarahìn kò lè rí.

Ìrìn yìí ní ìsàlẹ̀ gbà pé ACL, òfin NAT àti ipò tunnel-group wà níwájú rẹ. Láìsí wọn, àbájáde ṣàlàyé ìlànà tí o kò lè ṣàyẹ̀wò.

Ìgbésẹ̀ 1: kọ ìsàn inú pẹ̀lú àwọn ọ̀rọ̀ rírọrùn

Ṣàlàyé ohun èlò náà kí o tó tẹ ohunkóhun. Ẹ̀rọ onílé inú tó ṣí SSH sí olùpínjú lẹ́yìn ibodè jìnnà jẹ́ ìsàn TCP inú kan pẹ̀lú ibùdó orísun pàtó. Ìsàn yẹn ni ACL àti àlẹ̀mọ́ VPN ṣàyẹ̀wò, nítorí náà ìsàn yẹn ni o tẹ.

Kọ ọ́ gẹ́gẹ́ bí gbólóhùn kan, kí o sì túmọ̀ ọ́ pẹ̀lú ààyè kọ̀ọ̀kan:

packet-tracer input inside tcp 10.30.0.25 53000 10.40.0.50 22 detailed

Ìgbésẹ̀ 2: yan ẹnu-ọ̀nà ìwọlé àti ìtọ́sọ́nà

Ìwọlé ni ẹnu-ọ̀nà tí kọ̀mpútà ti dé, kì í ṣe èyí tí ó ń jáde. Fún ẹ̀rọ onílé LAN tó bẹ̀rẹ̀, ó jẹ́ ẹnu-ọ̀nà inside. Fún kọ̀mpútà ìpadàbọ̀ ìpàdé kan náà, ó jẹ́ ẹnu-ọ̀nà outside, tuple sì yí padà. Kíkọ ibi tó ń lọ gẹ́gẹ́ bí orísun ni ọ̀nà kejì tó wọ́pọ̀ jùlọ láti gba ALLOW tó dánilójú ṣùgbọ́n tí kò yẹ.

Àwọn ibùdó náà ní ìtọ́sọ́nà. Ibùdó iṣẹ́ wà nínú ààyè ibi tó ń lọ nínú ìbéèrè tí a bẹ̀rẹ̀, ibùdó àkókò kúkúrú ti alábàáṣepọ̀ wà nínú ààyè orísun. Àwòrán pẹ̀lú ibi tó ń lọ TCP 500 ṣàlàyé ohun èlò TCP tó ń gbọ́ lórí 500; kò di ìdánwò IKE nítorí pé nọ́mbà náà farahàn nínú àṣẹ.

Ìgbésẹ̀ 3: ka àwọn ìpele ní ìtẹ̀sí

Ìpele kọ̀ọ̀kan nínú àbájáde jẹ́ ìpinnu pẹ̀lú olówó: wíwá ọ̀nà, ACL, NAT, lẹ́yìn náà yíyan VPN tàbí ìhò. Ka wọ́n ní ìtẹ̀sí tí a tẹ̀ wọ́n, kí o sì dúró ní ìpele àkọ́kọ́ tí kò bá àwòrán mu.

NAT máa ń dẹ́ wọn. Bí orísun tí a túmọ̀ bá jáde kúrò nínú crypto ACL tó yan ìrìnàjò fún ìhò, a lè gba ìsàn náà láàyè kí ó má sì ní ìkójọpọ̀ rárá. Ìtọ́pasẹ̀ náà tẹ àdírẹ́sì tí a túmọ̀, nítorí náà fi wé ìrìnàjò ìhò tó fani mọ́ra dípò àdírẹ́sì ìpilẹ̀.

Ìgbésẹ̀ 4: ṣàyẹ̀wò àwọn ìforígbárí tí o yàn

Ọ̀nà detailed gba àwọn àṣàyàn tó ń forí ìṣàyẹ̀wò kọjá, Cisco sì ṣàkọsílẹ̀ àṣàyàn bypass-checks tó bo ACL, àlẹ̀mọ́ VPN, uRPF àti ìṣàyẹ̀wò ìtànjẹ IPsec. ALLOW tí a gba pẹ̀lú wọn ní ìforí sọ pé ọ̀nà àti NAT yóò ṣiṣẹ́, kì í ṣe pé ìlànà yóò gba kọ̀mpútà gidi. Kọ àwọn àṣàyàn lẹ́gbẹ̀ẹ́ àbájáde.

Bí o bá nílò ìdáhùn ìlànà, ṣiṣẹ́ rẹ̀ láìsí àwọn ìforígbárí. Bí o bá ń ya ìbéèrè ọ̀nà kúrò, ṣiṣẹ́ rẹ̀ pẹ̀lú wọn kí o sì fi àmì sí àbájáde gẹ́gẹ́ bí ìdáhùn ọ̀nà.

Ìgbésẹ̀ 5: dí àlàfo pẹ̀lú pàṣípààrọ̀ gidi

Ìyọ̀ǹda àfarahìn máa ń dúró ní ASA. Bóyá ibodè jìnnà ti tú kọ̀mpútà náà, bóyá olùpínjú ti gba ìsopọ̀ náà, àti bóyá ìdáhùn ti padà wá jẹ́ àkíyèsí ọ̀tọ̀ọ̀tọ̀. Lo àwọn olùka ìparí tàbí gbigba háhà lórí ọ̀nà tí a fọwọ́ sí.

Àwọn àṣàyàn trace àti replay kan ń fi kọ̀mpútà ránṣẹ́ tàbí ń pa ipò mọ́. Tẹ̀lé ìhùwàsí tí a ṣàkọsílẹ̀ fún ìtúsílẹ̀ rẹ àti ìlànà àyẹ̀wò tí a fọwọ́ sí dípò kí o ka gbogbo ìyàtọ̀ gẹ́gẹ́ bí wíwá kíkà nìkan.

Ohun tí ìtọ́pasẹ̀ kò tíì lè sọ fún ọ

Pa ohun mẹ́rin mọ́ nínú àkọsílẹ̀ kan: tuple, òfin NAT tó bá mu, ìhò tàbí ìlànà tó yẹ kí ó gbé ìsàn náà, àti àkíyèsí pàtó fún ìtọ́sọ́nà. Láìsí wọn, onímọ̀ ẹ̀rọ tó ń bọ̀ kò lè ya ìpinnu ìlànà àdúgbò kúrò nínú ìpele ìṣàkóso tí a ti gbé kalẹ̀ àti iṣẹ́ tó ń ṣiṣẹ́. Ìkùnà àkọ́kọ́ tí àṣeyọrí tẹ̀lé kì í ṣe ẹ̀rí pé ìhò gbọdọ̀ ga ní àárín; kọ ìpele àti ìyípadà ipò.

Bẹ̀rẹ̀ pẹ̀lú tuple inú, dúró ní ìpele àkọ́kọ́ tó tako àwòrán, lẹ́yìn náà nìkan lọ sí ẹ̀rí ìparí. Ìtọ́pasẹ̀ jẹ́ orákùlù ìlànà, kì í ṣe ìwé ẹ̀rí ìfijíṣẹ́.