ASA-nın TACACS+ sorğuları filial VPN tunelini niyə keçir

Filial tuneli işləyir, istifadəçilər uzaq TACACS+ serverinə qarşı autentifikasiya olunur, amma firewall-un öz girişi hələ də vaxt aşımına uğrayır. Səbəb tuneldəki xəta deyil: LAN-to-LAN tuneli selektorlarına uyğun trafiki daşıyır, ASA-nın özü haqqında yaratdığı idarəetmə trafiki isə öz mənbə ünvanı olan ayrı axındır. Komandaların çoxu bunu dəyişiklik pəncərəsi zamanı, yeganə administrator hesabı uğursuz olan anda kəşf edir. ASA-nın başlatdığı AAA sessiyasını artıq işləyən bağlantının yan təsiri kimi deyil, dizayn etməli olduğunuz axın kimi qəbul edin.

ASA müştəridir və onun öz trafiki öz yolu tələb edir

Firewall TACACS+ serverinə müraciət edəndə o, hər hansı digər müştəri kimidir; yeganə fərq budur ki, heç kim onun üçün qəsdən marşrut qurmayıb. Paketləri cihazdakı interfeys ünvanından yaranır, yönləndirilmir, yerli olaraq yaradılır və istifadəçi trafiki kimi marşrutlaşdırılmalı, çevrilməli və siyasətlə qorunmalıdır. İstifadəçi alt şəbəkəsini qoruyan sayt-sayt tuneli həmin idarəetmə mənbəyini avtomatik qorumur, çünki trafik seçimi niyyətə deyil, ünvanlara əsaslanır.

Serverin görməsini gözlədiyiniz ünvanı yazın. Onu bir sətirdə deyə bilmirsinizsə, hələ dizaynınız yoxdur.

aaa-server sətrindəki interfeys bəzək deyil

ASA-da aaa-server host qeydi mötərizədə interfeys əlaqəsi alır və Cisco-nun AAA host əmr arayışı bunu autentifikasiya serverinin yerləşdiyi interfeys kimi təsvir edir. Məhz bu əlaqə sorğunu interfeysə və həmin interfeysin tətbiq etdiyi siyasətə bağlayır. Onu internetə baxan interfeysə görə seçmək və ya son miqrasiyadan qalıb qalanı saxlamaq, uzaq serverin və tunelin heç vaxt qurulmadığı bir mənbə ünvanı yaradır.

inside yalnız o zaman düzgün cavabdır ki, adı çəkilən interfeys dizaynınızın mənbə kimi istifadə etmək istədiyi ünvanı saxlayır. Filial cihazında bu çox vaxt belədir; bir neçə özəl seqmenti olan cihazda isə olmaya bilər.

Əlaqəni dəyişmək qeydi yenidən yaratmaq deməkdir

Həmin əmr arayışı keçidlər zamanı insanları tutan bir redaktə məhdudiyyətini sənədləşdirir: mövcud hostda interfeysi dəyişmək host qeydini silib yenidən yaratmağı tələb edir. Redaktə olunmuş kimi görünən konfiqurasiya qüvvəyə minməmiş ola bilər və növbəti giriş cəhdi yenə köhnə ünvandan çıxacaq. Bunu yerində düzəliş kimi deyil, orijinal qeydin surəti qarşınızda olmaqla silib-əlavə etmə kimi planlaşdırın.

Bir neçə server təyin olunubsa, birini dəyişin və qalanlara toxunmazdan əvvəl sınaqdan keçirin ki, bir səhv bütün inzibati yolları eyni vaxtda bağlamasın.

Selektorları, çevrilməni və qayıdış yolunu birlikdə yoxlayın

Sorğunun çatması üçün üç şey uyğun olmalıdır. Tunelin trafik selektorları və ya tunel interfeysi qoruması, ASA-nın öz mənbəyini və serverin ünvanını əhatə etməlidir; istifadəçi alt şəbəkələri üçün qurulmuş selektor siyahısı adətən bunu etməz. Yoldakı hər hansı NAT qaydası həmin mənbəni ardıcıl çevirməlidir, çünki server gördüyü ünvanı əhatə edən şəbəkə cihazı kimliyini avtorizasiya edir. Və qayıdış yolu mövcud olmalıdır; siyasət əsaslı tuneldə bu, uzaq tərəfin əks istiqamətdə uyğun selektoru olması deməkdir.

Server tərəfində cihaz kimliyini, ortaq sirri və inzibati siyasəti ayrı-ayrılıqda təsdiqləyin. TACACS+ autentifikasiya, avtorizasiya və uçotu ayrı əməliyyatlar kimi saxlayır, buna görə tamamlanmış mübadilədən sonra gələn rədd cavabı siyasət cavabıdır, nəqliyyat nasazlığı deyil. Bunu şəbəkə problemi kimi oxumaq sizi yanlış yerdə axtarışa göndərir.

Sazlama zamanı sirri paket tutmalarından, biletlərdən və transkriptlərdən kənarda saxlayın və unutmayın ki, serverin jurnala yazdığı mənbə ünvanı dizaynınızın izah etməli olduğu ünvandır.

Dəyişikliyi özünüzü kilidləmədən edin

Uzaq inzibati autentifikasiyanı dəyişərkən konsoldan və ya müstəqil idarəetmə yolundan istifadə edin və yeni yol real giriş daşıyana qədər təsdiqlənmiş yerli ehtiyat variantı saxlayın. Sonra dar şəkildə yoxlayın: bir server, bir cihaz, hər iki tərəfdə müşahidə olunan mənbə ünvanı ilə bir uğurlu autentifikasiya.

Axını öz səhifəsində qeyd edin: mənbə interfeysi və ünvanı, uzaq server, qorunan yol və avtorizasiya siyasətinin sahibi olan şəxs. Sonra interfeys və ya tunel dəyişikliyi iki axından hansına təsir etdiyini təxmin etmədən qiymətləndirilə bilər.