Sayt VPN işləyir, lakin ASA jurnalları gəlmir: mənbə ünvanını yoxlayın

Daxili hostlar uzaq toplayıcıya çatır və onların syslog sətirləri görünür. ASA-nın həmin sessiyalar barədə öz mesajları heç vaxt gəlmir. Toplayıcıda və ya tuneldə heç bir qüsur yoxdur və çaşdırıcı hissə elə budur. Firewall jurnallarını tunelin heç vaxt qorumaq üçün qurulmadığı mənbədən göndərir.

Nə gəlir, nə gəlmir

Panelde eyni görünən iki axını ayırmaqla başlayın. Yönləndirilmiş trafik ASA-dan keçir: LAN hostu toplayıcıya göndərir, ASA bunu tunel siyasəti ilə uyğunlaşdırır, şifrələyir və toplayıcı hostun ünvanını görür. Yaradılan trafik ASA-nın özündə başlayır: cihaz syslog paketi qurur, çıxış interfeysi və mənbə seçir, yalnız bundan sonra hər hansı tunel siyasətinin uyğun olub-olmadığını soruşur. Birinci axın tunelin işlədiyini sübut edir və ikinci barədə heç nə demir.

Cihazdaki buferlənmiş hadisə də uzaq çatdırılmanın sübutu deyil, çünki jurnal lokalda mövcud olub heç vaxt göndərilməmiş ola bilər. Tuneli günahlandırmadan əvvəl toplayıcının qəbul sayğaclarını yoxlayın, çünki boş sayğac artan sayğacdan fərqli bir nəticədir.

Yaradılan mesaj yönləndirilmiş trafik deyil

ASA paket yaratdıqda LAN hostuna proksi etmir. Mənbə çıxış interfeysindən və ya açıq mənbə ayarından gəlir və paket cihazın göndərdiyi hər şey kimi eyni marşrut axtarışına və siyasət yoxlamalarına daxil olur. Bu o deməkdir ki, VPN selektoru ASA-nın həqiqətən istifadə etdiyi ünvanı əhatə etməlidir və bu, çox vaxt daxili subnet deyil, onun xarici interfeysidir.

Siyasət 10.20.0.0/24 şəbəkəsini qoruyursa və ASA mənbə kimi xarici ünvanını istifadə edirsə, jurnal paketi ya çata bilmədiyi toplayıcıya açıq mətnlə çıxır, ya da atılır. Hər iki nəticə toplayıcı tərəfdən eyni görünür. Eyni məntiq idarəetmə trafikinə də aiddir, buna görə management-access ayrı dizayn qərarıdır.

ASA-nın şəbəkəyə hansı mənbəni qoyması

Mənbəni fərziyyə ilə deyil, empirik olaraq tapın. Test mesajı zamanı çıxış interfeysində tutma faktiki mənbə və təyinatı göstərir və üç konfiqurasiya bölməsini oxumaqdan az vaxt aparır. Həmin ünvanı tunelin lokal selektoru ilə müqayisə edin.

Bəzi buraxılışlar jurnal mənbəyini interfeysə bağlamağa imkan verir və versiyanız üçün əmr arayışı bu seçimin olub-olmadığı və nəyi dəyişdiyi barədə səlahiyyətli mənbədir. Fərqli Cisco platformasından source-interface əmri ASA-da avtomatik qüvvədə deyil.

Mənbəyi dəyişsəniz, bunu qəsdən edin və qeyd edin, çünki toplayıcı ACL-ləri və syslog üzərində qurulan hər hansı korrelyasiya bundan asılıdır.

Selektoru jurnal axınına uyğunlaşdırın

Mənbə bilindikdən sonra üç şeyi ardıcıllıqla yoxlayın: hansı trafikin maraqlı olduğunu müəyyən edən kripto ACL və ya siyasət əsaslı selektor, paketin hara getdiyini müəyyən edən marşrut və şifrələmədən əvvəl mənbəyi yenidən yaza bilən hər hansı NAT qaydası. Marşruta uyğun gələn, amma selektora uyğun gəlməyən paket tuneldən keçmir və NAT tərəfindən yenidən yazılmış paket heç birinə uyğun gəlməyə bilər.

Toplayıcı tərəfinin öz tələbləri var: ASA-nın mənbəyinə icazə verən ACL, geri marşrut və konfiqurasiya etdiyiniz portda dinləyən xidmət. Nəql burada da vacibdir, çünki TCP və TLS jurnallaşdırması qismən bloklanmış yolda UDP-dən fərqli davranır. Hər dəfə bir elementi dəyişin, əks halda növbəti tutma hansı dəyişikliyin vacib olduğunu deməyəcək.

Toplayıcıda təsdiqləyin, sonra mənbəni qeyd edin

Mesajın gəldiyini təsdiqləyin, sonra ASA-nın istifadə etdiyi mənbə ünvanını, onu daşıyan selektoru və sınaq üçün istifadə etdiyiniz ciddilik səviyyəsini yazın.

Bu qeyd növbəti toplayıcı ACL dəyişikliyini və ya selektor redaktəsini yenidən kəşf etmək əvəzinə iki dəqiqəlik yoxlamaya çevirir. O, həmçinin iki axından hansının vaxtilə yoxlanıldığını sənədləşdirir və əksər runbookların buraxdığı hissə elə budur. Mesaj hələ də gəlmirsə, ciddilik həddini müvəqqəti olaraq aşağı salın və tək bir təyinat üzrə sınaq keçirin.

Cisco-nun ASA jurnallaşdırma FAQ-u xarici mənbəli bir halı sənədləşdirir ki, bu hal uyğun qorunan trafik tərifini tələb edir və onun daxili mənbəli nümunəsi həm daxildə jurnal hostunu, həm də daxildə management-access-i əhatə edir. Sənədləşdirilmiş kombinasiyaya və proqram kontekstinə birlikdə yanaşın, kopyalanmış bir sətrin hər konfiqurasiyaya uyğun olduğunu fərz etməyin.

LAN trafikini daşıyan tunel firewallun öz səsini daşıyan tunel deyil.