هل يحصل نطاق VPN الفرعي على مستوى أمان واجهة ASA؟

النطاق الفرعي لـ VPN بعد فك التشفير لا يرث مستوى أمان واجهة أبدًا. افحص sysopt connection permit-vpn وفلتر المجموعة ووصول الإدارة كلًا على حدة.

يسأل أحدهم عمّا إذا كان نطاق VPN الفرعي للفرع يحمل «مستوى أمان 0 أو 100» على ASA، والسؤال نفسه يحتوي على الخطأ. مستوى الأمان خاصية لواجهة محلية، ويُعيَّن من 0 إلى 100 في إعداد الواجهة. النطاق الفرعي البعيد الذي يصل عبر نفق لا يكتسب مستوى أمان، مهما كانت طريقة كتابة خريطة التشفير. لهذا لا يملك السؤال إجابة رقمية.

السؤال العملي التالي أفضل: أي سياسة تسمح للفرع بالوصول إلى الخادم، وأي واحدة تبقيه بعيدًا عن الجدار الناري نفسه. هذان جوابان، والإجراء أدناه يفصل بينهما.

مستويات الأمان تنتمي إلى الواجهات

شغّل show running-config interface وسترى security-level تحت كل واجهة فعلية أو واجهة VLAN، وليس تحت مجموعة النفق أو خريطة التشفير. يُقيَّم السماح الافتراضي من الأعلى إلى الأدنى بين تلك الواجهات، ولهذا يغيّر الرقم سلوك الفحص وقائمة ACL الضمنية على المسار الذي ينتمي إليه.

في تدفق VPN بعد فك التشفير، يبقى الدخول هو واجهة outside حيث ينتهي النفق، ويبقى الخروج هو واجهة inside باتجاه الخادم. اكتب الاثنين قبل أن تلمس أي شيء. هذه الخطوة الواحدة تزيل معظم الالتباس، لأنها تحوّل سؤال ثقة مجردًا إلى زوج من الواجهات.

لتجاوز ACL حدّ مسمّى

sysopt connection permit-vpn هو الإعداد الذي يتذكره الناس نصف تذكّر عندما يقولون إن حركة VPN تتجاهل قوائم ACL. إنه يتخطى فعلًا قائمة ACL الخاصة بالواجهة للحركة المؤهّلة كحركة VPN، ودليل معاملات 9.x يحصره بحسب الواجهة والاتجاه بدلًا من إعلان استثناء عام.

افحص ما هو مُعد قبل أن تستنتج من الذاكرة:

  • show running-config all sysopt لرؤية القيمة الفعلية، وليس الأسطر غير الافتراضية فقط.
  • show running-config access-group لرؤية أي قائمة ACL مطبقة على أي واجهة واتجاه.
  • show vpn-sessiondb detail l2l لتأكيد مجموعة النفق والفلتر التي تستخدمها الجلسة فعلًا.

إيقاف هذا الإعداد لتشديد وصول VPN تغيير واسع الأثر. إنه يعيد إخضاع كل تدفق VPN مؤهل لقائمة ACL الخارجية، وهذا عادة يكسر أنفاقًا عاملة بطرق لا علاقة لها بالفرع الذي سُئلت عنه.

اقرأ الفلتر المرتبط بالجلسة

التحكم الحقيقي لكل نفق هو فلتر VPN: قائمة ACL تشير إليها سياسة مجموعة أو اسم مستخدم، وتُطبَّق بعد فك التشفير وقبل التشفير. فلتر على مستوى المستخدم يتجاوز قيمة مستوى المجموعة، لذا قد يكون لشخصين في المجموعة نفسها وصول فعلي مختلف.

أكّد الأولوية بدلًا من افتراضها. show running-config group-policy <name> يعرض قيمة المجموعة، و show running-config username <name> يعرض ما إذا كانت هناك قيمة لمستخدم بعينه. إذا وُجد الاثنان، تفوز قيمة المستخدم. ثم قارن مدخلات تلك القائمة بالتدفق الذي يهمك، في الاتجاه الذي يقيّم فيه الفلتر.

فلتر يسمح بخادم التطبيق لا يقول شيئًا عن الإدارة. تلك قواعد منفصلة على مسار منفصل.

تحقّق من سماح واحد ومنع واحد

Packet-tracer أسرع طريقة لرؤية القرار دون انتظار أن يبلغ عنه مستخدم. أعطه التدفق من جهة فك التشفير ودعه يسمّي مراحل ACL وNAT والفحص التي يمر بها.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. اقرأ سطر النتيجة: إنه يسمّي قائمة ACL التي سمحت بالحزمة أو أسقطتها.
  3. كرّر مع وجهة الإدارة على واجهة inside وأكّد المنع.
  4. كرّر مرة أخرى بعد أي تغيير، حتى يُسجَّل الحالتان قبل وبعد.

ثم تحقّق بحركة حقيقية: طلب تطبيق ناجح من الفرع ومحاولة SSH فاشلة إلى ASA. Packet-tracer يحاكي المسار؛ والتدفق الحي يثبت أن النموذج طابق الواقع.

أعد التغيير الذي جعله يعمل

إذا كان الحل تعطيل تجاوز ACL أو توسيع فلتر، فاحتفظ بالإعداد السابق. التقاط show run للكائنات المتأثرة، محفوظ قبل التغيير، يكفي لاستعادتها؛ إعداد ASA موجه بالأسطر، لذا الرجوع يعني إعادة إدخال الأسطر القديمة، لا استعادة ملف.

سجّل زوج الواجهات، والفلتر الفعلي، واسم ACL من packet-tracer، والأوامر الدقيقة التي غيّرتها. هذا السجل يحوّل المراجعة التالية إلى فحص من خمس دقائق بدل نقاش آخر عن مستويات الثقة.

مقالات ذات صلة