Якое правіла ASA бачыць трафік пасля расшыфроўкі VPN

Першае дапушчэнне, ад якога трэба адмовіцца, — што крыпта-ACL з'яўляецца палітыкай доступу. Гэта не так. На Cisco ASA гэты спіс адказвае на адно вузкае пытанне: якія пакеты заслугоўваюць абароны, і гэты адказ нічога не кажа пра тое, ці можа расшыфраваны пакет дасягнуць сервера за міжсеткавым экранам. Доступ вырашаецца пазней — палітыкай інтэрфейса, фільтрам групавой палітыкі або і тым і іншым, у залежнасці ад таго, як пабудаваны тунель.

Крыпта-ACL адказвае на іншае пытанне

Крыпта-ACL — гэта спіс супастаўленняў. Ён кажа тунелю, што шыфраваць паміж двума партнёрамі; пакет, які не супадае з ім, проста не абаронены. Пашырэнне спісу змяняе абсяг абароны і нічога болей.

Менавіта таму даданне падсеткі там можа падняць тунель, хаця сама праграма ўсё яшчэ не працуе. Тунель падняты, бо супастаўленне цяпер ёсць. Праграма не працуе, бо нішто ў гэтым спісе нічога не дазваляе. Два розныя пытанні, два розныя спісы.

Што ж насамрэч прапускае налада абыходу

sysopt connection permit-vpn дазваляе абароненаму трафіку прапусціць праверку ACL інтэрфейса, якая інакш дзейнічала б на баку ўваходу. Гэта зручнасць для разгортванняў VPN, і яна глабальная. Яна не закранае групавую палітыку і не закранае фільтр аўтарызацыі асобнага карыстальніка.

Чытайце фактычнае значэнне, а не дапушчэнне: show running-config all sysopt друкуе наладу нават тады, калі яна ніколі не была яўна наладжана, і менавіта адсюль пачынаецца шмат блытаніны.

Паколькі налада глабальная, правяраць яе як хуткі эксперымент на адной збойнай падсетцы — дрэнны размен. Усе іншыя тунелі на гэтым экране падзяляюць вынік. Пакіньте яе для мэтанакіраванай змены з планам адкату.

Чытайце фільтр у кірунку расшыфроўкі

LAN-to-LAN vpn-filter пішацца з пункту гледжання тунеля, а не інтэрфейса. Аддаленая сетка займае месца крыніцы, а лакальная сетка — месца прызначэння, бо менавіта так выглядае пакет пасля расшыфроўкі. Затым той жа фільтр зноў ацэньваецца ў адваротным кірунку перад шыфраваннем, з адваротнымі ролямі адрасоў.

Умовы для партоў заслугоўваюць большай увагі, чым скапіяваны ACL інтэрфейса, менавіта з гэтай прычыны. Правіла, якое дазваляе адзін порт прызначэння, можа мець непажаданы эфект у адваротным кірунку, дзе новае злучэнне выкарыстоўвае гэты порт як крыніцу. Запішыце, які бок можа ініцыяваць, фактычную службу і суразмоўцу, які павінен застацца закрытым, перш чым будаваць спіс.

Пацвердзіце, які фільтр фактычна далучаны: show running-config group-policy і show vpn-sessiondb detail l2l разам паказваюць, што атрымала ў спадчыну сесія. Рэдагаванне ACL, на які не спасылаецца ніводная палітыка, нічога не змяняе.

Не выкарыстоўвайце адзін аб'ект ACL для дзвюх задач

Інтэрфейсны access-group і vpn-filter выглядаюць як аб'екты аднаго тыпу, але ацэньваюцца ў розных кропках з рознай арыентацыяй адрасоў. Прызначэнне аднаго спіса абодвум запрашае змену, якая выправіць тунель і ціха паслабіць фізічны інтэрфейс.

Трымайце іх асобна, называйце па іх задачы і зрабіце розніцу ў кірунку бачнай у назвах.

Правярайце новымі злучэннямі, у абодвух кірунках

Пасля запланаванай змены адкрыйце адно свежае злучэнне, якое павінна быць дазволена, і адно свежае злучэнне, якое павінна быць адхілена, затым запішыце адрасы, кірунак і адпаведнасць палітыцы разам з вынікам. Устаноўленая сесія нічога не даказвае пра фільтраванне новых злучэнняў, бо яна ўжо была прапушчана па старых правілах.

Улічыце і інспекцыю. Дакументацыя вытворцы адзначае, што фільтр VPN правярае пачатковае злучэнне, а не кожнае другаснае злучэнне, якое адкрывае рухавік інспекцыі, таму кіравальны канал і звязаны з ім медыяпаток могуць атрымаць іншае абыходжанне. Калі праграма разумее пратакол, тэстуйце фактычны паток, а не адзін зонд порта.

Тунель, які стаў прыдатным пасля шырокага абыходу, кажа, што абмежаванне знялі, а не што яго выканалі. Вынік, які варта захаваць, — гэта названы пункт прымянення, на які можна спасылацца падчас наступнага агляду.