VPN alt şəbəkəsi ASA interfeysinin təhlükəsizlik səviyyəsini alırmı?

Kimsə filialın VPN alt şəbəkəsinin ASA-da «təhlükəsizlik səviyyəsi 0 və ya 100» olub-olmadığını soruşur və sualın özü artıq səhvi ehtiva edir. Təhlükəsizlik səviyyəsi lokal interfeysin xassəsidir və interfeys konfiqurasiyasında 0-dan 100-ə qədər təyin edilir. Tuneldən gələn uzaq alt şəbəkə heç bir səviyyə əldə etmir, crypto map necə yazılsa da. Buna görə sualın rəqəmsal cavabı yoxdur.

Praktik davam sualı daha yaxşıdır: hansı siyasət filialı serverə buraxır və hansı onu firewall-un özündən uzaq saxlayır. Bunlar iki cavabdır və aşağıdakı prosedur onları ayırır.

Təhlükəsizlik səviyyələri interfeyslərə aiddir

show running-config interface işə salın və security-level-in hər fiziki və ya VLAN interfeysi altında olduğunu görəcəksiniz, tunel qrupu və ya crypto map altında deyil. Yuxarıdan aşağıya defolt icazə həmin interfeyslər arasında qiymətləndirilir, buna görə rəqəm aid olduğu yolda yoxlama və gizli ACL davranışını dəyişir.

Şifrəsi açılmış VPN axını üçün giriş hələ də tunelin bitdiyi outside interfeysidir, çıxış isə serverə doğru inside interfeysidir. Hər şeyə toxunmazdan əvvəl hər ikisini yazın. Bu tək addım qarışıqlığın çoxunu aradan qaldırır, çünki mücərrəd bir etibar sualını interfeys cütünə çevirir.

ACL yan keçməsinin adlı sərhədi var

sysopt connection permit-vpn insanların VPN trafiki ACL-lərə məhəl qoymur deyəndə yarım xatırladıqları parametrdir. O, VPN trafiki kimi kvalifikasiya olunan trafik üçün interfeys ACL-sini həqiqətən atlayır və 9.x parametr təlimatı onu qlobal istisna elan etmək əvəzinə interfeys və istiqamət üzrə məhdudlaşdırır.

Yaddaşdan çıxış edərək düşünməzdən əvvəl nəyin konfiqurasiya olunduğunu yoxlayın:

• show running-config all sysopt faktiki dəyəri görmək üçün, yalnız defolt olmayan sətirləri deyil.
• show running-config access-group hansı ACL-in hansı interfeysə və istiqamətə tətbiq olunduğunu görmək üçün.
• show vpn-sessiondb detail l2l sessiyanın həqiqətən hansı tunel qrupunu və filtri istifadə etdiyini təsdiqləmək üçün.

VPN girişini sərtləşdirmək üçün bu parametri söndürmək geniş təsirli dəyişiklikdir. O, hər kvalifikasiya olunan VPN axınını yenidən outside ACL-ə tabe etdirir və bu, adətən işləyən tunelləri sizdən soruşulan filialla əlaqəsiz şəkildə pozur.

Sessiyaya bağlanmış filtri oxuyun

Hər tunel üzrə əsl nəzarət VPN filtridir: qrup siyasəti və ya istifadəçi adı ilə istinad edilən, şifrə açıldıqdan sonra və şifrələmədən əvvəl tətbiq olunan ACL. İstifadəçi səviyyəsindəki filtr qrup səviyyəsindəki dəyəri üstələyir, buna görə eyni tunel qrupundakı iki nəfərin effektiv girişi fərqli ola bilər.

Üstünlüyü ehtimal etmək əvəzinə təsdiqləyin. show running-config group-policy <name> qrup dəyərini göstərir, show running-config username <name> isə istifadəçi üzrə dəyərin olub-olmadığını göstərir. Hər ikisi varsa, istifadəçi dəyəri üstün gəlir. Sonra həmin ACL-in qeydlərini sizi maraqlandıran axınla, filtrin qiymətləndirdiyi istiqamətdə müqayisə edin.

Tətbiq serverinə icazə verən filtr idarəetmə haqqında heç nə demir. Bunlar ayrı yolda ayrı qaydalardır.

Bir icazəni və bir rəddi yoxlayın

Packet-tracer qərarı istifadəçinin bildirməsini gözləmədən görməyin ən sürətli yoludur. Ona şifrə açılmış tərəfin axınını verin və keçdiyi ACL, NAT və yoxlama mərhələlərini adlandırmasına icazə verin.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Nəticə sətrini oxuyun: paketi buraxan və ya atan ACL-i adlandırır.
3. İdarəetmə təyinatı ilə inside interfeysində təkrarlayın və rəddi təsdiqləyin.
4. Hər dəyişiklikdən sonra bir daha təkrarlayın ki, həm əvvəlki, həm sonrakı vəziyyət qeyd olunsun.

Sonra real trafiklə yoxlayın: filialdan bir uğurlu tətbiq sorğusu və ASA-ya bir uğursuz SSH cəhdi. Packet-tracer yolu modelləşdirir; canlı axın modelin uyğun gəldiyini sübut edir.

İşləməsinə səbəb olan dəyişikliyi geri qaytarın

Düzəliş ACL yan keçməsini söndürmək və ya filtri genişləndirmək idisə, əvvəlki konfiqurasiyanı saxlayın. Təsirlənən obyektlərin dəyişiklikdən əvvəl saxlanmış show run çıxarışı onları bərpa etmək üçün kifayətdir; ASA konfiqurasiyası sətir yönümlüdür, ona görə geri qaytarmaq köhnə sətirləri yenidən daxil etmək deməkdir, faylı bərpa etmək deyil.

İnterfeys cütünü, effektiv filtri, packet-tracer-dən ACL adını və dəyişdirdiyiniz dəqiq əmrləri qeyd edin. Bu qeyd növbəti baxışı etibar səviyyələri haqqında başqa bir mübahisə əvəzinə beş dəqiqəlik yoxlamaya çevirir.