VPN trafiki deşifrə etdikdən sonra hansı ASA qaydası görür

İlk imtina etməli olduğunuz fərziyyə kripto ACL-in giriş siyasəti olmasıdır. Belə deyil. Cisco ASA-da bu siyahı bir dar suala cavab verir: hansı paketlər qorunmağa layiqdir, və bu cavabın deşifrə olunmuş paketin firewall arxasındakı serverə çata bilməsi ilə heç bir əlaqəsi yoxdur. Girişə sonradan qərar verilir: interfeys siyasəti, qrup siyasəti filtri və ya hər ikisi ilə, tunelin necə qurulduğundan asılı olaraq.

Kripto ACL başqa suala cavab verir

Kripto ACL uyğunluq siyahısıdır. Tunelə iki tərəf arasında nəyin şifrələnəcəyini deyir; ona uyğun gəlməyən paket sadəcə qorunmur. Onu genişləndirmək qorunma əhatəsini dəyişir, başqa heç nəyi yox.

Ona görə də orada subnet əlavə etmək tuneli qaldıra bilər, halbuki real tətbiq yenə işləməyəcək. Tunel qalxıb, çünki artıq uyğunluq var. Tətbiq yenə işləmir, çünki o siyahıda heç nə heç bir şeyə icazə vermir. İki fərqli sual, iki fərqli siyahı.

Bypass parametri əslində nəyi keçir

sysopt connection permit-vpn qorunan trafikə daxil olan tərəfdə tətbiq olunacaq interfeys ACL yoxlamasını keçməyə imkan verir. Bu, VPN yerləşdirmələri üçün rahatlıqdır və qlobaldır. Qrup siyasətinə toxunmur, istifadəçi üzrə avtorizasiya filtrinə də toxunmur.

Fərziyyəni deyil, canlı dəyəri oxuyun: show running-config all sysopt parametri heç vaxt açıq şəkildə konfiqurasiya olunmadıqda belə çap edir, və bir çox qarışıqlıq buradan başlayır.

Parametr qlobal olduğundan onu bir nasaz subnetdə sürətli sınaq kimi yoxlamaq pis mübadilədir. Həmin firewalldakı bütün digər tunellər nəticəni paylaşır. Onu geri qaytarma planı olan qəsdən edilən dəyişikliyə saxlayın.

Filtri deşifrə istiqamətində oxuyun

LAN-to-LAN vpn-filter interfeysin deyil, tunelin nöqteyi-nəzərindən yazılır. Uzaq şəbəkə mənbə mövqeyinə, lokal şəbəkə isə təyinat mövqeyinə gedir, çünki paket deşifrədən sonra belə görünür. Sonra eyni filtr şifrələmədən əvvəl əks istiqamətdə yenidən qiymətləndirilir, ünvan rolları tərsinə çevrilir.

Port şərtləri məhz buna görə kopyalanmış interfeys ACL-indən daha çox diqqət tələb edir. Bir təyinat portuna icazə verən qayda əks istiqamətdə gözlənilməz təsir göstərə bilər: yeni bağlantı həmin portu mənbə kimi istifadə edir. Siyahını qurmazdan əvvəl hansı tərəfin başlada biləcəyini, real xidməti və bağlı qalmalı qarşı tərəfi yazın.

Hansı filtrin həqiqətən qoşulduğunu təsdiqləyin: show running-config group-policy və show vpn-sessiondb detail l2l birlikdə sessiyanın nəyi miras aldığını göstərir. Heç bir siyasətin istinad etmədiyi ACL-i redaktə etmək heç nəyi dəyişmir.

Bir ACL obyektini iki iş üçün təkrar istifadə etməyin

Interfeys access-group ilə vpn-filter eyni tipli obyekt kimi görünür, lakin müxtəlif nöqtələrdə və ünvan oriyentasiyaları ilə qiymətləndirilir. Bir siyahını hər ikisinə təyin etmək tuneli düzəldən, fiziki interfeysi isə səssizcə gevşedən dəyişikliyə dəvət edir.

Onları ayrı saxlayın, işlərinə görə adlandırın və istiqamət fərqini adlarda görünən edin.

Yeni bağlantılarla, hər iki istiqamətdə yoxlayın

Planlaşdırılmış dəyişiklikdən sonra icazə verilməli bir yeni bağlantı və rədd edilməli bir yeni bağlantı açın, sonra ünvanları, istiqaməti və siyasət uyğunluğunu nəticə ilə birlikdə qeyd edin. Qurulmuş sessiya yeni bağlantı filtrləməsi haqqında heç nə sübut etmir, çünki o, köhnə qaydalarla artıq qəbul edilib.

İnspeksiyanı da nəzərə alın. Vendor sənədləri qeyd edir ki, VPN filtri inspeksiya mühərrikinin açdığı hər ikincil bağlantını deyil, ilkin bağlantını yoxlayır, ona görə idarəetmə kanalı və onunla bağlı media axını fərqli rəftar görə bilər. Tətbiq protokolu tanıyırsa, bir port zondunu deyil, real axını sınaqdan keçirin.

Geniş bypassdan sonra işlək olan tunel məhdudiyyətin aradan qaldırıldığını deyir, təmin olunduğunu yox. Saxlamağa dəyər nəticə növbəti baxışda göstərə biləcəyiniz adlandırılmış tətbiq nöqtəsidir.