Niyə ASA uzaq istifadəçisi alt şəbəkəyə çatır, amma tətbiqə çatmır
Marşrutlar tunelin işlədiyini sübut edir, istifadəçinin tətbiqi aça biləcəyini yox. Sessiyanın aldığı filtri oxuyun, sonra icazə verilən və rədd edilən bir bağlantını sınayın.
İstifadəçiniz qoşulur, ünvan alır, tətbiq alt şəbəkəsindəki serverə ping göndərir və yenə də onun üzərindəki xidməti aça bilmir. Bu birləşmə ASA-da normaldır, çünki uğurlu tunel ilə istifadə oluna bilən icazə fərqli parametrlərlə müəyyən edilir. Split-tunel siyahısı hansı təyinatların tunelə daxil olduğunu seçdi; VPN filtri və təyinatın öz giriş qaydaları deşifrə edilmiş sorğunun nəyə çata biləcəyini müəyyən edir. Marşrut siyahısını nəyisə dəyişənə qədər genişləndirmək əvəzinə üç qərarı ardıcıl işləyin.
Qarışdırmaq asan olan üç qərar
Qəbul istifadəçinin ümumiyyətlə tunel qura biləcəyini cavablandırır: etimad məlumatları, sertifikat və hər hansı ikinci amil. Marşrut seçimi müştərinin hansı təyinatları həmin tunelə göndərdiyini cavablandırır. Avtorizasiya deşifrə edilmiş sorğunun xidmətə çata biləcəyini cavablandırır. Yalnız üçüncüsü istifadəçinin bildirdiyi xətanı yaradır.
Onları ayırd etməyin sürətli yolu dəyişikliyin nəyi poza biləcəyini soruşmaqdır. Split siyahıdan marşrutun çıxarılması o alt şəbəkəyə trafiki dayandırır, amma heç nə vermir; VPN filtrinə ACE əlavə etmək müştərinin tuneldən nə keçirdiyini dəyişmədən bir təyinat icazəsi verir.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Sessiyanın həqiqətən aldığı filtri oxuyun
Tətbiq olunduğunu düşündüyünüz konfiqurasiyadan deyil, canlı sessiyadan başlayın. show vpn-sessiondb detail anyconnect təyin edilmiş qrup siyasətini və həmin sessiyaya bağlanmış filtr adını çap edir. Sahə boşdursa, heç bir filtr nəyisə məcbur etmir və blok başqa yerdən gəlir.
Sonra dəyərə sahib siyasəti, o cümlədən defoltları oxuyun, çünki filtr baxdığınız yerdə yazılmaqdan çox miras qala bilər:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Sessiyadakı filtr adını indicə redaktə etdiyiniz ACL ilə müqayisə edin. İstifadəçinin heç vaxt almadığı oxşar adlı ACL həmin sessiyanın resurs siyasətini dəyişə bilməz və düzgün görünən dəyişikliyin təsir etməməsinin ən çox yayılmış səbəbi budur.
Prioritet qalanı izah edir. Filtr parametri üçün DAP qeydi istifadəçi adı atributlarından üstündür, istifadəçi adı atributları isə qrup siyasətindən üstündür. Sessiya gözləmədiyiniz filtr göstərirsə, qrupa toxunmazdan əvvəl həmin istifadəçiyə uyğun DAP siyasəti axtarın.
Split siyahı və filtr ayrı sahələrdir
ASA 9.x-də qrup siyasəti split-tunnel-network-list və vpn-filter fərqli parametrlər kimi saxlayır və 9.22 qrup siyasəti təlimatı buna görə onları ayrıca sənədləşdirir. Şəbəkə siyahısı müştəri üçün marşrut işarəsidir; filtr isə deşifrə edilmiş trafikə tətbiq olunan giriş nəzarəti siyahısıdır.
Bu fərq istifadəçiyə alt şəbəkədə bir HTTPS xidməti lazım olanda vacibdir. Alt şəbəkəni split siyahısına qoyun ki, paketlər tunelə daxil olsun, sonra filtrdə yalnız həmin xidmətə icazə verin. Marşrut siyahısını genişləndirmək heç nəyə icazə vermir, onu kiçiltmək isə tətbiq mexanizmi deyil.
İnterfeys ACL-in ümumiyyətlə yolda olub-olmadığını yoxlayın
Deşifrə edilmiş uzaq giriş trafiki həmişə xarici interfeys ACL-dən insanların güman etdiyi kimi keçmir. sysopt connection permit-vpn aktiv olduqda ASA həmin trafik üçün sənədləşdirilmiş VPN yan keçməsini tətbiq edir, tətbiq olunan VPN filtrləri isə sonra da qüvvədə qalır. Parametri topologiya diaqramından çıxış edərək deyil, show run all sysopt ilə yoxlayın.
Hər halda, təyinat hostunun öz firewall-u və tətbiqin avtorizasiyası yolda qalır. TCP 443-ə icazə verən ASA qaydası tətbiqin istifadəçini qəbul etməsinə səbəb olmur.
Dəyişikliyi rədd edilmiş bağlantı ilə də qəbul edin
Yalnız icazə verilmiş sınaq çox az şey sübut edir, çünki işləyən tunel filtrin olub-olmamasından asılı olmayaraq eyni ilk paketi yaradır. Nəzərdə tutulan xidməti müştəridən açın, sonra bağlı qalmalı olan bir təyinatı yoxlayın və onun düzgün səbəbdən uğursuz olduğunu təsdiqləyin.
Bileti bağlayarkən dörd faktı qeyd edin: qəbul edilmiş kimlik, sessiyanın həqiqətən aldığı siyasət və filtr, split siyahısındakı təyinatlar və istifadəçinin çatmasına icazə verilən resurs. Bu dördü trafikin harada idarə olunduğunu izah edir və marşrut siyahısını firewall-a çevirmir.
Filtr icazə verdikdən sonra xidmət hələ də rədd edirsə, hosta keçin: dinləmə ünvanı, host firewall-u və tətbiqin öz istifadəçi xəritələnməsi. Tunel o anda öz işini gördü və sonrakı ASA dəyişiklikləri yalnız risk əlavə edir.