Ці атрымлівае VPN-падсетка ўзровень бяспекі інтэрфейса ASA?

Расшыфраваная VPN-падсетка ніколі не атрымлівае ўзровень бяспекі інтэрфейса. Праверце sysopt connection permit-vpn, фільтр групы і доступ да кіравання асобна.

Нехта пытаецца, ці мае VPN-падсетка філіяла на ASA «ўзровень бяспекі 0 або 100», і пытанне ўжо змяшчае памылку. Узровень бяспекі — уласцівасць лакальнага інтэрфейса, якая прызначаецца ад 0 да 100 у канфігурацыі інтэрфейса. Аддаленая падсетка, якая прыходзіць праз тунель, не набывае яго, як бы ні была напісана crypto map. Таму пытанне не мае лікавага адказу.

Практычнае пытанне далей лепшае: якая палітыка дапускае філіял да сервера, а якая трымае яго далей ад самога міжсеткавага экрана. Гэта два адказы, і працэдура ніжэй раздзяляе іх.

Узроўні бяспекі належаць інтэрфейсам

Выканайце show running-config interface, і вы ўбачыце security-level пад кожным фізічным інтэрфейсам або інтэрфейсам VLAN, а не пад групай тунеля ці crypto map. Прадвызначаны дазвол ад вышэйшага да ніжэйшага ацэньваецца паміж гэтымі інтэрфейсамі, таму лік змяняе паводзіны праверкі і неяўнай ACL на шляху, да якога належыць.

Для расшыфраванага VPN-патоку ўваход па-ранейшаму знешні інтэрфейс, дзе заканчваецца тунель, а выхад — унутраны інтэрфейс да сервера. Запішыце абодва, перш чым нешта чапаць. Гэты адзіны крок знішчае большую частку блытаніны, бо ператварае абстрактнае пытанне даверу ў пару інтэрфейсаў.

Абыход ACL мае названую мяжу

sysopt connection permit-vpn — гэта налада, якую людзі паўзапамінаюць, калі кажуць, што VPN-трафік ігнаруе ACL. Яна сапраўды прапускае ACL інтэрфейса для трафіку, які кваліфікуецца як VPN-трафік, і даведнік параметраў 9.x абмяжоўвае яе па інтэрфейсе і напрамку, а не абвяшчае глабальнае выключэнне.

Праверце, што наладжана, перш чым разважаць па памяці:

  • show running-config all sysopt, каб убачыць фактычнае значэнне, а не толькі радкі, якія не з’яўляюцца прадвызначанымі.
  • show running-config access-group, каб убачыць, якая ACL ужыта да якога інтэрфейса і напрамку.
  • show vpn-sessiondb detail l2l, каб пацвердзіць, якую групу тунеля і фільтр сапраўды выкарыстоўвае сеанс.

Адключэнне гэтай налады, каб узмацніць VPN-доступ, — змена з шырокім уплывам. Яна зноў падпарадкоўвае кожны кваліфікаваны VPN-паток знешняй ACL, што звычайна ламае працоўныя тунелі спосабамі, не звязанымі з філіялам, пра які вы пыталіся.

Чытайце фільтр, прывязаны да сеансу

Сапраўднае кіраванне на кожны тунель — гэта VPN-фільтр: ACL, на якую спасылаецца палітыка групы або імя карыстальніка, ужываецца пасля расшыфроўкі і перад шыфраваннем. Фільтр узроўню карыстальніка перавышае значэнне ўзроўню групы, таму два чалавекі ў адной групе тунеля могуць мець розны эфектыўны доступ.

Пацвердзіце прыярытэт, а не выказвайце здагадку. show running-config group-policy <name> паказвае значэнне групы, а show running-config username <name> паказвае, ці існуе значэнне для карыстальніка. Калі існуюць абодва, перамагае значэнне карыстальніка. Затым параўнайце запісы гэтай ACL з патокам, які вас цікавіць, у напрамку, у якім ацэньвае фільтр.

Фільтр, які дазваляе сервер прыкладання, нічога не кажа пра кіраванне. Гэта асобныя правілы на асобным шляху.

Праверце адзін дазвол і адну забарону

Packet-tracer — найхутчэйшы спосаб убачыць рашэнне, не чакаючы, пакуль пра яго паведаміць карыстальнік. Дайце яму паток з боку расшыфроўкі і дазвольце назваць этапы ACL, NAT і праверкі, якія ён праходзіць.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прачытайце радок выніку: ён называе ACL, якая дазволіла або адкінула пакет.
  3. Паўтарыце з адміністрацыйным пунктам прызначэння на ўнутраным інтэрфейсе і пацвердзіце забарону.
  4. Паўтарыце яшчэ раз пасля любога змянення, каб былі запісаныя абодва станы — да і пасля.

Затым праверце рэальным трафікам: адзін паспяховы запыт прыкладання з філіяла і адно няўдалае падключэнне SSH да ASA. Packet-tracer мадэлюе шлях; жывы паток даказвае, што мадэль супала.

Адкруціце змяненне, якое прымусіла яго працаваць

Калі выпраўленнем было адключэнне абыходу ACL або пашырэнне фільтра, захавайце папярэднюю канфігурацыю. Здымак show run закранутых аб’ектаў, захаваны да змены, дастатковы, каб аднавіць іх; канфігурацыя ASA арыентавана на радкі, таму адкат азначае паўторны ўвод старых радкоў, а не аднаўленне файла.

Запішыце пару інтэрфейсаў, эфектыўны фільтр, імя ACL з packet-tracer і дакладныя каманды, якія вы змянілі. Гэты запіс ператварае наступны агляд у пяціхвілінную праверку замест чарговай спрэчкі пра ўзроўні даверу.

Падобныя артыкулы