Kry ’n VPN-subnet die ASA-koppelvlak se sekuriteitsvlak?

Iemand vra of die tak se VPN-subnet op die ASA “sekuriteitsvlak 0 of 100” het, en die vraag bevat reeds die fout. Sekuriteitsvlak is ’n eienskap van ’n plaaslike koppelvlak en word in die koppelvlakkonfigurasie van 0 tot 100 toegeken. ’n Afgeleë subnet wat deur ’n tonnel aankom, verkry nie een nie, maak nie saak hoe die crypto map geskryf is nie. Daarom het die vraag geen numeriese antwoord nie.

Die praktiese opvolgvraag is beter: watter beleid laat die tak na die bediener toe, en watter een hou dit weg van die vuurmuur self. Dit is twee antwoorde, en die prosedure hieronder skei hulle.

Sekuriteitsvlakke hoort by koppelvlakke

Voer show running-config interface uit, en jy sal security-level onder elke fisiese of VLAN-koppelvlak sien, nie onder die tonnelgroep of die crypto map nie. Die verstek toelating van hoër na laer word tussen daardie koppelvlakke geëvalueer, daarom verander die getal die inspeksie- en implisiete-ACL-gedrag op die pad waaraan dit behoort.

Vir ’n ontsleutelde VPN-vloei bly die inkom steeds die buitenste koppelvlak waar die tonnel eindig, en die uitgang is die binnekoppelvlak na die bediener. Skryf albei neer voordat jy enigiets aanraak. Daardie enkele stap skakel die meeste van die verwarring uit, want dit verander ’n abstrakte vertrouensvraag in ’n koppelvlakpaar.

Die ACL-omseiling het ’n benoemde grens

sysopt connection permit-vpn is die instelling wat mense half onthou wanneer hulle sê VPN-verkeer ignoreer ACL’s. Dit slaan wel die koppelvlak-ACL oor vir verkeer wat as VPN-verkeer kwalifiseer, en die 9.x-parametergids beperk dit per koppelvlak en rigting eerder as om ’n globale uitsondering te verklaar.

Kontroleer wat gekonfigureer is voordat jy uit die geheue redeneer:

• show running-config all sysopt om die werklike waarde te sien, nie net die nie-verstek-lyne nie.
• show running-config access-group om te sien watter ACL op watter koppelvlak en rigting toegepas word.
• show vpn-sessiondb detail l2l om te bevestig watter tonnelgroep en filter die sessie werklik gebruik.

Om daardie instelling af te skakel om VPN-toegang te verskerp, is ’n verandering met groot impak. Dit onderwerp elke kwalifiserende VPN-vloei weer aan die buitenste ACL, wat gewoonlik werkende tonnels breek op maniere wat nie met die tak verband hou waaroor jy gevra is nie.

Lees die filter wat aan die sessie gekoppel is

Die werklike beheer per tonnel is die VPN-filter: ’n ACL waarna ’n groepbeleid of ’n gebruikersnaam verwys, toegepas ná ontsleuteling en voor versleuteling. ’n Filter op gebruikersvlak oorheers die waarde op groepsvlak, so twee mense in dieselfde tonnelgroep kan verskillende effektiewe toegang hê.

Bevestig die voorrang in plaas daarvan om dit aan te neem. show running-config group-policy <name> wys die groepwaarde, en show running-config username <name> wys of ’n per-gebruiker-waarde bestaan. As albei bestaan, wen die gebruikerwaarde. Vergelyk dan daardie ACL se inskrywings met die vloei waaroor jy omgee, in die rigting waarin die filter evalueer.

’n Filter wat die toepassingbediener toelaat, sê niks oor bestuur nie. Dit is aparte reëls op ’n aparte pad.

Verifieer een toelating en een weiering

Packet-tracer is die vinnigste manier om die besluit te sien sonder om te wag dat ’n gebruiker dit rapporteer. Gee dit die vloei aan die ontsleutelde kant en laat dit die ACL-, NAT- en inspeksiestadiums noem waardeur dit gaan.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Lees die resultaatlyn: dit noem die ACL wat die pakkie toegelaat of laat val het.
3. Herhaal met die administratiewe bestemming op die binnekoppelvlak en bevestig ’n weiering.
4. Herhaal nog een keer ná enige verandering, sodat beide die voor- en na-toestande aangeteken is.

Verifieer dan met werklike verkeer: een suksesvolle toepassingsversoek vanaf die tak en een mislukte SSH-poging na die ASA. Packet-tracer modelleer die pad; ’n lewende vloei bewys dat die model geklop het.

Draai die verandering terug wat dit laat werk het

As die oplossing was om die ACL-omseiling te deaktiveer of ’n filter te verbreed, hou die vorige konfigurasie. ’n show run-opname van die betrokke objekte, voor die verandering gestoor, is genoeg om hulle te herstel; ASA-konfigurasie is lyngeoriënteerd, so terugrol beteken om die ou lyne weer in te voer, nie om ’n lêer te herstel nie.

Teken die koppelvlakpaar, die effektiewe filter, die ACL-naam uit packet-tracer en die presiese opdragte wat jy verander het, aan. Daardie rekord maak die volgende hersiening ’n vyf-minute-kontrole in plaas van nog ’n debat oor vertrouensvlakke.