Waarom ASA TACACS+-versoeke jou tak-VPN-tonnel oorslaan

Die taktonnel is op, gebruikers verifieer by die afgeleë TACACS+-bediener, en die firewall se eie aanmelding keer steeds uit. Die rede is nie 'n fout in die tonnel nie: 'n LAN-tot-LAN-tonnel dra verkeer wat by sy selektors pas, en bestuursverkeer wat die ASA oor homself genereer is 'n aparte vloei met sy eie bronadres. Die meeste spanne ontdek dit tydens 'n veranderingsvenster, wanneer die enigste administrateurrekening die een is wat faal. Behandel die AAA-sessie wat die ASA begin as 'n vloei wat jy moet ontwerp, nie as 'n neweproduk van konnektiwiteit wat reeds werk nie.

Die ASA is die kliënt, en sy eie verkeer het sy eie pad nodig

Wanneer die firewall 'n TACACS+-bediener kontak, is die firewall 'n kliënt soos enige ander, behalwe dat niemand doelbewus 'n roete daarvoor opgestel het nie. Sy pakkette kom van 'n koppelvlakadres op die toestel, hulle word plaaslik gegenereer eerder as deurgestuur, en hulle moet geroteer, vertaal en deur beleid beskerm word net soos gebruikersverkeer. 'n Werf-tot-werf-tonnel wat 'n gebruikersubnet beskerm, beskerm nie outomaties daardie bestuursbron nie, want verkeerskeuring berus op adresse en nie op bedoeling nie.

Skryf die adres neer wat jy verwag die bediener sal sien. As jy dit nie in een reël kan stel nie, het jy nog nie 'n ontwerp nie.

Die koppelvlak in die aaa-server-reël is nie versiering nie

Die aaa-server-gasheerinskrywing neem 'n koppelvlak-assosiasie tussen hakies, en Cisco se AAA-gasheeropdragverwysing beskryf dit as die koppelvlak waar die verifikasiebediener geleë is. Daardie assosiasie is wat die versoek aan 'n koppelvlak en aan die beleid wat daardie koppelvlak toepas, bind. Om dit te kies volgens watter koppelvlak ook al na die internet wys, of te laat wat ook al van die laaste migrasie oorgebly het, lewer 'n bronadres wat die afgeleë bediener en die tonnel nooit voor gebou is nie.

Inside is slegs die regte antwoord wanneer die genoemde koppelvlak die adres hou wat jou ontwerp as bron wil gebruik. Op 'n taktoestel is dit dikwels so; op 'n toestel met verskeie private segmente dalk nie.

Om die assosiasie te verander beteken om die inskrywing te herskep

Dieselfde opdragverwysing dokumenteer 'n wysigingsbeperking wat mense tydens oorskakelings vang: om die koppelvlak op 'n bestaande gasheer te verander, vereis dat die gasheerinskrywing verwyder en herskep word. 'n Konfigurasie wat geredigeer lyk, het dalk nie in werking getree nie, en die volgende aanmeldpoging sal steeds van die ou adres af vertrek. Beplan dit as 'n verwydering-en-byvoeging met 'n kopie van die oorspronklike inskrywing voor jou, nie as 'n ter plaatse aanpassing nie.

As verskeie bedieners gedefinieer is, verander een en toets dit voordat jy die res aanraak, sodat 'n fout nie alle administratiewe paaie gelyktydig uitsluit nie.

Kontroleer selektors, vertaling en die terugpad saam

Drie dinge moet ooreenstem voordat die versoek aankom. Die tonnel se verkeersselektors, of die tonnelkoppelvlak-beskerming as jy een gebruik, moet die ASA se eie bron en die bediener se adres insluit; 'n selektorslys wat vir gebruikersubnette gebou is, sal dit gewoonlik nie doen nie. Enige NAT-reël op die pad moet daardie bron konsekwent vertaal, want die bediener magtig 'n netwerktoestel-identiteit wat die adres insluit wat hy sien. En die terugpad moet bestaan, wat op 'n beleidsgebaseerde tonnel beteken die verre kant het 'n ooreenstemmende selektor in die ander rigting.

Aan die bedienerkant, bevestig die toestelidentiteit, die gedeelde geheim en die administratiewe beleid afsonderlik. TACACS+ hou verifikasie, magtiging en rekeningkunde as afsonderlike bewerkings, so 'n weiering wat na 'n voltooide uitruiling kom, is 'n beleidsantwoord, nie 'n vervoerfout nie. Om dit as 'n netwerkprobleem te lees, stuur jou om op die verkeerde plek te soek.

Hou die geheim uit opnames, kaartjies en transkripsies terwyl jy ontfout, en onthou dat die bronadres wat die bediener log, die een is wat jou ontwerp moet verduidelik.

Maak die verandering sonder om jouself uit te sluit

Gebruik 'n konsole of 'n onafhanklike bestuurspad terwyl jy remote administratiewe verifikasie verander, en hou 'n goedgekeurde plaaslike terugval totdat die nuwe pad 'n werklike aanmelding gedra het. Valideer dan eng: een bediener, een toestel, een suksesvolle verifikasie met die bronadres aan beide kante waargeneem.

Teken die vloei op sy eie bladsy aan: oorsprongkoppelvlak en -adres, afgeleë bediener, beskermde pad, en die persoon wat die magtigingsbeleid besit. 'n Latere koppelvlak- of tonnelverandering kan dan beoordeel word sonder om te raai watter van die twee vloei dit raak.