Watter ASA-reel sien die verkeer nadat die VPN dit ontsleutel

Die eerste aanname om te laat vaar, is dat die kripto-ACL 'n toegangsbeleid is. Dit is nie. Op 'n Cisco ASA beantwoord daardie lys een nou vraag: watter pakkette beskerming verdien. Die antwoord sê niks oor of die ontsleutelde pakket die bediener agter die brandmuur mag bereik nie. Toegang word later beslis, deur 'n koppelvlakbeleid, deur 'n groepbeleidfilter, of deur albei, afhangend van hoe die tonnel gebou is.

Die kripto-ACL beantwoord 'n ander vraag

'n Kripto-ACL is 'n passinglys. Dit sê vir die tonnel wat tussen twee eweknieë versleutel moet word; 'n pakket wat nie daarmee pas nie, word bloot nie beskerm nie. Om dit te verbreed verander die omvang van beskerming en niks anders nie.

Daarom kan die byvoeging van 'n subnet daar 'n tonnel laat opkom terwyl die eintlike toepassing steeds misluk. Die tonnel is op omdat daar nou 'n passing bestaan. Die toepassing misluk steeds omdat niks in daardie lys enigiets toelaat nie. Twee verskillende vrae, deur twee verskillende lyste beantwoord.

Wat die omleidingsinstelling werklik oorslaan

sysopt connection permit-vpn laat beskermde verkeer die koppelvlak-ACL-kontrole oorslaan wat andersins aan die inkomende kant sou geld. Dit is 'n gerief vir VPN-ontplooiings en dit is globaal. Dit raak nie die groepbeleid nie en dit raak nie 'n magtigingsfilter per gebruiker nie.

Lees die werklike waarde eerder as die aanname: show running-config all sysopt druk die instelling selfs wanneer dit nooit uitdruklik gekonfigureer is nie, en dit is waar baie verwarring begin.

Omdat die instelling globaal is, is dit 'n slegte ruil om dit as 'n vinnige eksperiment op een foutiewe subnet te toets. Elke ander tonnel op daardie brandmuur deel die resultaat. Hou dit vir 'n doelbewuste verandering met 'n terugrolplan.

Lees die filter in die ontsleutelde rigting

'n LAN-tot-LAN vpn-filter word uit die tonnel se oogpunt geskryf, nie die koppelvlak s'n nie. Die afgeleë netwerk gaan in die bronposisie en die plaaslike netwerk in die bestemmingsposisie, want dit is hoe die pakket na ontsleuteling lyk. Dieselfde filter word dan weer in die teenoorgestelde rigting geëvalueer voor versleuteling, met die adresrolle omgekeer.

Poortvoorwaardes verdien meer sorg as 'n gekopieerde koppelvlak-ACL, juis om daardie rede. 'n Reël wat een bestemmingspoort toelaat, kan in die omgekeerde rigting 'n onbedoelde uitwerking hê, waar 'n nuwe verbinding daardie poort as bron gebruik. Skryf neer watter kant mag inisieer, die werklike diens en die teenparty wat gesluit moet bly voordat jy die lys bou.

Bevestig watter filter werklik aangeheg is: show running-config group-policy en show vpn-sessiondb detail l2l saam vertel jou wat die sessie geërf het. Om 'n ACL te wysig waarna geen beleid verwys nie, verander niks.

Moenie een ACL-objek vir twee take hergebruik nie

'n Koppelvlak-access-group en 'n vpn-filter lyk soos dieselfde soort objek en word op verskillende punte met verskillende adresoriëntasies geëvalueer. Om een lys aan albei toe te wys, nooi 'n verandering uit wat die tonnel regmaak en die fisiese koppelvlak stilweg losser maak.

Hou hulle apart, noem hulle na hul taak, en laat die verskil in rigting in die name sigbaar wees.

Verifieer met nuwe verbindings, in albei rigtings

Na 'n beplande verandering, maak een nuwe verbinding oop wat toegelaat moet word en een nuwe verbinding wat geweier moet word, en hou dan die adresse, die rigting en die beleidpassing by die resultaat. 'n Gevestigde sessie bewys niks oor die filtering van nuwe verbindings nie, want dit is al onder die ou reëls toegelaat.

Reken ook vir inspeksie. Die verskaffer se dokumentasie noem dat 'n VPN-filter die aanvanklike verbinding kontrolleer eerder as elke sekondêre verbinding wat 'n inspeksie-enjin oopmaak, so 'n beheerkanaal en sy verwante mediastroom kan verskillende behandeling kry. As die toepassing protokolbewus is, toets die werklike stroom eerder as 'n enkele poorttoets.

'n Tonnel wat na 'n breë omleiding bruikbaar word, sê die beperking is verwyder, nie dat dit bevredig is nie. Die uitkoms wat die moeite werd is om te hou, is 'n benoemde handhawingspunt waarna jy by die volgende hersiening kan wys.