با تنظیمات اضافه شده دوباره باز شد.
من ASA در محل به عنوان مثال چند زمینه ای فایروال، بنابراین VTI پشتیبانی نمی شود. (حتی با آخرین نسخه ها حدس می زنم). بنابراین ما استفاده می کنیم VPN های مبتنی بر قانون. مرجع: https://www.cisco.com/c/en/us/td/docs/security/asa/asa920/configuration/general/asa-920-general-config/ha-contexts.html#ID-2171-0000015b
دروازه VPN Azure برای پیکربندی شده است بر اساس مسیر (از آنجایی که ما به IKEv2 نیاز داریم) اما ما ” را فعال کرده ایماز انتخابگرهای ترافیک مبتنی بر قانون استفاده کنیدو ما تعدادی انتخابگر ترافیک سفارشی را در خطوط جداگانه تعریف کردیم. مرجع: https://learn.microsoft.com/en-us/azure/vpn-gateway/custom-traffic-selectors
من سعی کردم ابتدا همه زیرشبکه های راه دور را در همان فیلد “remotenets” قرار دهم (با کاما از هم جدا شده اند) تا فقط یک خط در زیر “Custom Selectors” وجود داشته باشد، اما اصلاً کار نکرد.
سپس من این کار را مانند مثال زیر انجام دادم و ردیف های جداگانه ای را در زیر “Custom TrafficSelectors” ایجاد کردم:
10.0.0.0/24 172.16.1.10/32
10.0.0.0/24 172.16.1.11/32
10.0.0.0/24 172.16.1.5/32
10.0.1.0/24 172.16.2.18/32
10.0.1.0/24 172.16.2.19/32
10.0.1.0/24 172.16.2.78/32
در ASA من جهت مخالف را در لیست دسترسی داشتم (محدوده محلی ASA محدوده 172.16.xx است).
من همه زیرشبکه های محلی را تحت گروه شی “local” و همه زیرشبکه های راه دور را در گروه شی “ریموت” داشتم.
وقتی سعی کردیم تست کنیم، فقط فاز 2 SA با انتخابگرهای ترافیک خط مقدم Azure راه اندازی شد. هیچ چیز دیگری کار نکرد.
من سعی کردم گروه های شی را از لیست دسترسی نقشه رمزنگاری در ASA حذف کنم و دامنه های رمزگذاری را در ردیف های لیست دسترسی فردی پیکربندی کنم تا دقیقاً با ردیف های موجود در Azure (البته در جهت مخالف) بدون استفاده از اشیاء مطابقت داشته باشد، اما همان نتیجه را گرفتم. فقط تونل Phase2 در خط 1 Azure ظاهر شد. این لیست دسترسی است که توسط نقشه رمزنگاری برای تعیین “ترافیک مورد علاقه” استفاده می شود. این نحوه عملکرد VPN مبتنی بر قانون در ASA است.
نمیدونم دیگه چیکار کنم یک راه حل این است که به جای آن خطوط جداگانه ای با آدرس های IP میزبان متفاوت قرار دهید تا آنها را در یک زیر شبکه جمع کنید و آن را به فیلد “شبکه های راه دور” در خط اول اضافه کنید، به عنوان مثال.
10.0.0.0/24 172.16.1.0/28
اما هنوز هم فقط برای آن کار خواهد کرد. نه برای بقیه ردیف ها (با زیرشبکه های مختلف مانند 10.0.1.0/24 172.16.2.0/24).
دو بار NAT در ASA پیکربندی شده است تا ترافیک را از ترجمه معاف کند تا برای VPN واجد شرایط باشد.
هیچ مشکلی با قوانین/گروه‌های امنیتی وجود ندارد، زیرا هر زیرشبکه محلی/ریموت در خط اول در انتخابگرهای ترافیک سفارشی Azure پیکربندی شده است، کار می‌کند.
مستندات Microsoft Azure فرآیند انتخابگرهای ترافیک خط مشی را با استفاده از powershell توصیف می کند، اما ما این کار را از پورتال Azure انجام دادیم. آیا تفاوت قابل توجهی وجود دارد؟ مرجع: https://learn.microsoft.com/en-us/azure/vpn-gateway/vpn-gateway-connect-multiple-policybased-rm-ps
در اینجا پیکربندی ASA آمده است:
object-group network Local_Encryption_Domains
network-object host 172.16.1.10
network-object host 172.16.1.11
network-object host 172.16.1.5
network-object host 172.16.2.18
network-object host 172.16.2.19
network-object host 172.16.2.78
object-group network Remote_Encryption_Domains
network-object 10.0.0.0 255.255.255.0
network-object 10.0.1.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.1.10 10.0.0.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.1.11 10.0.0.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.1.5 10.0.0.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.2.18 10.0.1.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.2.19 10.0.1.0 255.255.255.0
access-list CSM_VPN_ACL_AZURE extended permit ip host 172.16.2.78 10.0.1.0 255.255.255.0
crypto ikev2 policy 100
encryption aes-256
integrity sha256
group 21
prf sha256
lifetime seconds 86400
crypto map CSM_outside_map 5 match address CSM_VPN_ACL_AZURE
crypto map CSM_outside_map 5 set pfs group21
crypto map CSM_outside_map 5 set peer 1.1.1.1
crypto map CSM_outside_map 5 set ikev2 ipsec-proposal AES_256_SHA_256
crypto map CSM_outside_map 5 set security-association lifetime seconds 28800
crypto map CSM_outside_map 5 set reverse-route
access-list VPN_Azure_filter extended permit tcp 10.0.0.0 255.255.255.0 eq 443 host 172.16.1.10
access-list VPN_Azure_filter extended permit tcp 10.0.0.0 255.255.255.0 eq 443 host 172.16.1.11
access-list VPN_Azure_filter extended permit tcp 10.0.0.0 255.255.255.0 eq 80 host 172.16.1.5
access-list VPN_Azure_filter extended permit tcp 10.0.1.0 255.255.255.0 eq 443 host 172.16.2.18
access-list VPN_Azure_filter extended permit tcp 10.0.1.0 255.255.255.0 eq 1521 host 172.16.2.78
access-list VPN_Azure_filter extended permit tcp 10.0.0.0 255.255.255.0 host 172.16.1.10 eq 443
group-policy VPN_Azure internal
group-policy VPN_Azure attributes
vpn-filter value VPN_Azure_filter
vpn-tunnel-protocol ikev2
tunnel-group 1.1.1.1 type ipsec-l2l
tunnel-group 1.1.1.1 general-attributes
default-group-policy VPN_Azure
tunnel-group 1.1.1.1 ipsec-attributes
ikev2 remote-authentication pre-shared-key ********
ikev2 local-authentication pre-shared-key ********
nat (in,out) source static Local_Encryption_Domains Local_Encryption_Domains destination static Remote_Encryption_Domains Remote_Encryption_Domains
route out 1.1.1.1 255.255.255.255 50.50.50.1
لطفاً توجه داشته باشید که ACL فیلتر VPN (VPN_Azure_filter) همانطور که در بالا به اشتراک گذاشتم (منبع زیرشبکه راه دور است) در ASA پیکربندی شده است. مرجع: https://www.cisco.com/c/en/us/support/docs/security/pix-500-series-security-appliances/99103-pix-asa-vpn-filter.html
در نهایت، از آنجایی که من به پورتال Azure (که توسط شخص دیگری مدیریت می شود) دسترسی ندارم، پیکربندی مطابق راهنمای زیر انجام می شود (“آدرس های چند خطی”): https://learn.microsoft.com/en-us/azure/vpn-gateway/custom-traffic-selectors خطوط مانند خطوط پورتال هستند:
Local Address Range Remote Address Range
===============================================
10.0.0.0/24 172.16.1.10/32
10.0.0.0/24 172.16.1.11/32
10.0.0.0/24 172.16.1.5/32
10.0.1.0/24 172.16.2.18/32
10.0.1.0/24 172.16.2.19/32
10.0.1.0/24 172.16.2.78/32
در سند لاجوردی آمده است:برای QMSA هایی که هنوز ایجاد نشده اند، هنگام ارسال بسته ها، چند بسته اول از کار می افتند تا زمانی که یک QMSA برای ترافیک وجود داشته باشد.اما، در مورد من، هر چند بار تلاش کردم، سایر SA ها ایجاد نشدند. فقط اولی ایجاد شد و کار کرد: “10.0.0.0/24 172.16.1.10/32”
پیشاپیش بسیار متشکرم
همین موضوع در سایت های مختلف گزارش شده است:
https://learn.microsoft.com/en-us/answers/questions/338258/(-gateway-connection-)-traffic-selectors-not-worki?page=1&orderby=Helpful&comment=answer-351970&translated=false#newest-answer-comment
https://community.cisco.com/t5/vpn/asa-route-based-vpn-to-azure-with-multiple-on-prem-subnets-only/td-p/4149283
https://forum.netgate.com/topic/86070/ipsec-tunnel-ike2-to-asa-does-only-the-last-sa-not-all-4
