أي قاعدة في ASA ترى الحركة بعد أن يفكّ VPN التشفير

الافتراض الأول الذي يجب التخلّي عنه هو أن قائمة تشفير ACL سياسة وصول. ليست كذلك. على Cisco ASA تجيب تلك القائمة عن سؤال ضيّق واحد: أي الحزم تستحق الحماية، ولا تقول شيئًا عن إمكان وصول الحزمة المفكوكة التشفير إلى الخادم خلف الجدار الناري. يُبتّ في الوصول لاحقًا، بسياسة واجهة أو بمرشّح سياسة مجموعة أو بهما معًا، بحسب طريقة بناء النفق.

قائمة تشفير ACL تجيب عن سؤال مختلف

قائمة تشفير ACL قائمة مطابقة. تخبر النفق بما يجب تشفيره بين طرفين؛ والحزمة التي لا تطابقها ببساطة لا تكون محمية. توسيعها يغيّر نطاق الحماية ولا شيء غير ذلك.

لهذا فإن إضافة شبكة فرعية هناك قد تُقيم نفقًا بينما يظل التطبيق الفعلي فاشلًا. النفق قائم لأن مطابقة أصبحت موجودة. والتطبيق يظل فاشلًا لأن شيئًا في تلك القائمة لا يسمح بشيء. سؤالان مختلفان تجيب عنهما قائمتان مختلفتان.

ما الذي يتجاوزه إعداد التجاوز فعلًا

sysopt connection permit-vpn يسمح للحركة المحمية بتجاوز فحص ACL الخاص بالواجهة الذي كان سيطبَّق على جهة الدخول. وهو تسهيل لنشر VPN، وهو شامل. لا يمسّ سياسة المجموعة ولا يمسّ مرشّح تفويض لكل مستخدم.

اقرأ القيمة الفعلية لا الافتراض: show running-config all sysopt يطبع الإعداد حتى لو لم يُضبط صراحةً قط، ومن هنا يبدأ كثير من الالتباس.

لأن الإعداد شامل، فإن اختباره كتجربة سريعة على شبكة فرعية واحدة معطّلة مقايضة سيئة. كل نفق آخر على ذلك الجدار الناري يشارك النتيجة. احفظه لتغيير متعمّد مع خطة تراجع.

اقرأ المرشّح في اتجاه فكّ التشفير

يُكتب مرشّح vpn-filter لنفق LAN-to-LAN من وجهة نظر النفق لا الواجهة. توضع الشبكة البعيدة في موضع المصدر والشبكة المحلية في موضع الوجهة، لأن هكذا تبدو الحزمة بعد فكّ التشفير. ثم يُقيَّم المرشّح نفسه مرة أخرى في الاتجاه المعاكس قبل التشفير، مع عكس أدوار العناوين.

شروط المنافذ تستحق عناية أكبر من نسخ ACL واجهة، وللسبب نفسه تمامًا. قاعدة تسمح بمنفذ وجهة واحد قد يكون لها أثر غير مقصود في الاتجاه العكسي، حيث يستخدم اتصال جديد ذلك المنفذ كمصدر له. دوّن أي جهة يجوز لها البدء، والخدمة الفعلية، والطرف المقابل الذي يجب أن يبقى مغلقًا، قبل بناء القائمة.

تأكّد من المرشّح المرفق فعلًا: show running-config group-policy و show vpn-sessiondb detail l2l معًا يخبرانك بما ورثته الجلسة. وتعديل ACL لا تشير إليه أي سياسة لا يغيّر شيئًا.

لا تُعِد استخدام كائن ACL واحد لمهمّتين

الـ access-group على الواجهة والـ vpn-filter يبدوان من النوع نفسه، ويُقيَّمان في نقطتين مختلفتين باتجاهين مختلفين للعناوين. إسناد قائمة واحدة إلى كليهما يستدعي تغييرًا يصلح النفق ويُرخي الواجهة الفعلية بهدوء.

أبقهما منفصلين، وسمِّ كلًّا منهما بمهمّته، ودع فرق الاتجاه ظاهرًا في الأسماء.

تحقّق باتصالات جديدة، في الاتجاهين

بعد تغيير مخطَّط، افتح اتصالًا جديدًا يجب السماح به واتصالًا جديدًا يجب رفضه، ثم احفظ العناوين والاتجاه ومطابقة السياسة مع النتيجة. الجلسة القائمة لا تُثبت شيئًا عن تصفية الاتصالات الجديدة، لأنها سُمح بها أصلًا بموجب القواعد القديمة.

احسب حساب الفحص أيضًا. توثيق المورّد يشير إلى أن مرشّح VPN يفحص الاتصال الأولي لا كل اتصال ثانوي يفتحه محرّك فحص، لذا قد تحصل قناة تحكّم وتدفّق وسائطها المرتبط على معالجة مختلفة. إن كان التطبيق يتعرّف على البروتوكول، فاختبر التدفّق الفعلي لا مسبار منفذ واحد.

النفق الذي يصبح صالحًا بعد تجاوز واسع يقول إن القيد أُزيل، لا إنه لُبّي. النتيجة الجديرة بالحفظ هي نقطة إنفاذ مسمّاة يمكنك الإشارة إليها في المراجعة التالية.