لماذا تتجاوز طلبات TACACS+ من ASA نفق VPN الخاص بفرعك

نفق الفرع يعمل، والمستخدمون يصادقون على خادم TACACS+ البعيد، لكن تسجيل دخول جدار الحماية نفسه لا يزال ينتهي بمهلة. السبب ليس خللاً في النفق: نفق LAN-to-LAN يحمل الحركة التي تطابق محدّداته، وحركة الإدارة التي يولّدها ASA عن نفسه هي تدفق منفصل بعنوان مصدر خاص به. تكتشف معظم الفرق ذلك أثناء نافذة تغيير، حين يكون حساب المسؤول الوحيد هو الذي يفشل. تعامل مع جلسة AAA التي يبدأها ASA كتدفق يجب تصميمه، لا كأثر جانبي لاتصال يعمل بالفعل.

ASA هو العميل، وحركته الخاصة تحتاج مسارها الخاص

عندما يتصل جدار الحماية بخادم TACACS+، يكون جدار الحماية عميلاً كأي عميل آخر، إلا أن أحداً لم يضع له مساراً عن قصد. تنشأ حزمه من عنوان واجهة على الجهاز، وتُولَّد محلياً بدلاً من تمريرها، ويجب توجيهها وترجمتها وحمايتها بالسياسة تماماً كحركة المستخدمين. النفق من موقع إلى موقع الذي يحمي شبكة فرعية للمستخدمين لا يحمي تلقائياً ذلك المصدر الإداري، لأن اختيار الحركة يقوم على العناوين لا على النيّة.

اكتب العنوان الذي تتوقع أن يراه الخادم. إن لم تستطع ذكره في سطر واحد، فليس لديك تصميم بعد.

الواجهة في سطر aaa-server ليست زينة

يأخذ إدخال المضيف aaa-server ربطاً بواجهة بين قوسين، ويصفه مرجع أوامر مضيف AAA من Cisco بأنه الواجهة التي يقيم عليها خادم المصادقة. هذا الربط هو ما يصل الطلب بواجهة وبالسياسة التي تطبقها تلك الواجهة. واختياره حسب أي واجهة تواجه الإنترنت، أو ترك ما كان موجوداً من آخر ترحيل، ينتج عنوان مصدر لم يُبنَ له الخادم البعيد ولا النفق.

inside هو الجواب الصحيح فقط عندما تحمل الواجهة المذكورة العنوان الذي يعتزم تصميمك استخدامه كمصدر. على جهاز فرع يكون ذلك غالباً صحيحاً؛ وعلى جهاز فيه عدة مقاطع خاصة قد لا يكون.

تغيير الربط يعني إعادة إنشاء الإدخال

يوثّق مرجع الأوامر نفسه قيد تعديل يوقع الناس في مشكلة أثناء التحويلات: تغيير الواجهة على مضيف موجود يتطلب حذف إدخال المضيف وإعادة إنشائه. التهيئة التي تبدو معدَّلة قد لا تكون قد سريت، ومحاولة الدخول التالية ستغادر من العنوان القديم. خطط لذلك كحذف وإضافة مع نسخة من الإدخال الأصلي أمامك، لا كتعديل في المكان.

إن كانت هناك عدة خوادم معرّفة، غيّر واحداً واختبره قبل لمس الباقي، حتى لا يحجب خطأ كل مسارات الإدارة في وقت واحد.

تحقق من المحدّدات والترجمة ومسار العودة معاً

ثلاثة أشياء يجب أن تتوافق كي يصل الطلب. محدّدات حركة النفق، أو حماية واجهة النفق إن كنت تستخدمها، يجب أن تتضمن مصدر ASA نفسه وعنوان الخادم؛ وقائمة محدّدات بُنيت لشبكات المستخدمين لن تفعل ذلك عادة. وأي قاعدة NAT على المسار يجب أن تترجم ذلك المصدر باتساق، لأن الخادم يأذن لهوية جهاز شبكي تتضمن العنوان الذي يراه. ومسار العودة يجب أن يوجد، وهذا يعني في نفق قائم على السياسة أن الطرف البعيد لديه محدّد مطابق في الاتجاه الآخر.

على جانب الخادم، تحقق من هوية الجهاز والسر المشترك والسياسة الإدارية كل منها على حدة. يحتفظ TACACS+ بالمصادقة والتفويض والمحاسبة كعمليات منفصلة، لذا فالرفض الذي يصل بعد تبادل مكتمل هو إجابة سياسة، لا فشل نقل. وقراءته كمشكلة شبكة تدفعك للبحث في المكان الخطأ.

أبقِ السر خارج التقاطات الحزم والتذاكر والنصوص أثناء التصحيح، وتذكّر أن عنوان المصدر الذي يسجله الخادم هو العنوان الذي يجب أن يفسره تصميمك.

أجرِ التغيير دون أن تقفل الباب على نفسك

استخدم طرفية أو مسار إدارة مستقلاً أثناء تغيير مصادقة الإدارة عن بعد، واحتفظ ببديل محلي معتمد حتى يحمل المسار الجديد عملية دخول حقيقية. ثم تحقق بشكل ضيق: خادم واحد، وجهاز واحد، ومصادقة ناجحة واحدة مع رصد عنوان المصدر على الطرفين.

سجّل التدفق في صفحته الخاصة: الواجهة والعنوان المنشئان، والخادم البعيد، والمسار المحمي، والشخص المسؤول عن سياسة التفويض. عندها يمكن تقييم تغيير لاحق للواجهة أو النفق دون تخمين أي التدفقين يتأثر به.