لماذا يصل مستخدم ASA البعيد إلى الشبكة الفرعية ولكن ليس إلى التطبيق
المسارات تثبت أن النفق يعمل، لا أن المستخدم يحق له فتح التطبيق. اقرأ الفلتر الذي استلمته الجلسة، ثم اختبر اتصالًا مسموحًا وآخر مرفوضًا.
يتصل مستخدمك، ويحصل على عنوان، ويستجيب لخادم في الشبكة الفرعية للتطبيق، ومع ذلك لا يستطيع فتح الخدمة عليه. هذا المزيج طبيعي على ASA، لأن نجاح النفق وصلاحية الإذن القابل للاستخدام يحددهما إعدادان مختلفان. اختارت قائمة النفق المنقسم الوجهات التي دخلت النفق؛ أما فلتر VPN وقواعد الوصول الخاصة بالوجهة فيحددان ما يمكن للطلب المفكوك تشفيره الوصول إليه. تعامل مع القرارات الثلاثة بالترتيب بدلًا من توسيع قائمة المسارات حتى يتغير شيء.
ثلاثة قرارات يسهل الخلط بينها
القبول يجيب عما إذا كان يجوز للمستخدم إنشاء النفق أصلًا: بيانات الاعتماد والشهادة وأي عامل ثانٍ. اختيار المسار يجيب عن الوجهات التي يرسلها العميل داخل ذلك النفق. التخويل يجيب عما إذا كان الطلب المفكوك تشفيره قد يصل إلى الخدمة. القرار الثالث وحده هو الذي ينتج الخطأ الذي يبلغ عنه المستخدم.
طريقة سريعة للتمييز بينها هي السؤال عما سيتعطل بسبب أي تغيير. إزالة مسار من قائمة النفق المنقسم توقف حركة المرور إلى تلك الشبكة الفرعية دون منح أي شيء؛ وإضافة إدخال ACE إلى فلتر VPN تمنح وجهة دون تغيير ما ينفقه العميل عبر النفق.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
اقرأ الفلتر الذي استلمته الجلسة فعلًا
ابدأ من الجلسة الحية لا من الإعداد الذي تظن أنه ينطبق. show vpn-sessiondb detail anyconnect يطبع سياسة المجموعة المعينة واسم الفلتر المرتبط بتلك الجلسة. إذا كان الحقل فارغًا، فلا يوجد فلتر يفرض أي شيء، ويأتي الحظر من مكان آخر.
ثم اقرأ السياسة المالكة للقيمة، بما في ذلك القيم الافتراضية، لأن الفلتر قد يكون موروثًا لا مكتوبًا حيث تنظر:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
قارن اسم الفلتر على الجلسة بقائمة الوصول التي عدلتها للتو. قائمة وصول مشابهة الاسم لم يستلمها المستخدم لا يمكنها تغيير سياسة الموارد لتلك الجلسة، وهذا هو السبب الأكثر شيوعًا لعدم تأثير تغيير يبدو صحيحًا.
الأولوية تفسر الباقي. بالنسبة لإعداد الفلتر، يتقدم سجل DAP على سمات اسم المستخدم، وتتقدم سمات اسم المستخدم على سياسة المجموعة. عندما تعرض جلسة فلترًا غير متوقع، ابحث عن سياسة DAP تطابق ذلك المستخدم قبل أن تمس المجموعة.
قائمة النفق المنقسم والفلتر حقلان منفصلان
على ASA 9.x تحتفظ سياسة المجموعة بـ split-tunnel-network-list و vpn-filter كإعدادين مختلفين، ووثّق دليل سياسة المجموعة 9.22 كلًا منهما بشكل منفصل لهذا السبب. قائمة الشبكة تلميح توجيه للعميل؛ والفلتر قائمة تحكم بالوصول تُطبق على حركة المرور المفكوكة التشفير.
هذا التمييز مهم عندما يحتاج المستخدم إلى خدمة HTTPS واحدة على شبكة فرعية. ضع الشبكة الفرعية في قائمة النفق المنقسم كي تدخل الحزم النفق، ثم اسمح فقط بتلك الخدمة في الفلتر. توسيع قائمة المسارات لا يخوّل شيئًا، وتقليصها ليس آلية فرض.
تحقق مما إذا كانت قائمة وصول الواجهة في المسار أصلًا
حركة المرور المفكوكة التشفير للوصول البعيد لا تعبر دائمًا قائمة وصول الواجهة الخارجية كما يفترض الناس. حيث يكون sysopt connection permit-vpn ممكّنًا، تطبق ASA تجاوز VPN الموثق لديها على تلك الحركة، بينما تظل فلاتر VPN المنطبقة سارية بعد ذلك. تحقق من الإعداد باستخدام show run all sysopt بدلًا من الاستنتاج من مخطط الهيكل.
في كلتا الحالتين، يبقى جدار الحماية الخاص بالمضيف الوجهة وتخويل التطبيق في المسار. قاعدة ASA التي تسمح بـ TCP 443 لا تجعل التطبيق يقبل المستخدم.
اقبل التغيير باتصال مرفوض أيضًا
لا يثبت اختبار مسموح وحده إلا القليل، لأن النفق العامل ينتج الحزمة الأولى نفسها سواء وُجد فلتر أو لم يوجد. افتح الخدمة المقصودة من العميل، ثم جرّب وجهة يجب أن تبقى مغلقة وتأكد من فشلها للسبب الصحيح.
سجّل أربع حقائق عند إغلاق التذكرة: الهوية المقبولة، والسياسة والفلتر التي استلمتهما الجلسة فعلًا، والوجهات في قائمة النفق المنقسم، والمورد الذي سُمح للمستخدم بالوصول إليه. هذه الأربع تفسر أين تُدار حركة المرور دون تحويل قائمة توجيه إلى جدار حماية.
إذا استمرت الخدمة في الرفض بعد أن يسمح بها الفلتر، انتقل إلى المضيف: عنوان الاستماع، وجدار حماية المضيف، وتعيين المستخدم الخاص بالتطبيق. أدى النفق وظيفته عند هذه النقطة، وأي تغييرات إضافية على ASA لا تضيف إلا مخاطرة.