Получава ли VPN подмрежа нивото на сигурност на интерфейса на ASA?

Разшифрованата VPN подмрежа никога не наследява ниво на сигурност на интерфейс. Проверете sysopt connection permit-vpn, филтъра на групата и достъпа за управление поотделно.

Някой пита дали VPN подмрежата на клона е с „ниво на сигурност 0 или 100“ на ASA, а въпросът вече съдържа грешката. Нивото на сигурност е свойство на локален интерфейс и се задава от 0 до 100 в конфигурацията на интерфейса. Отдалечена подмрежа, която пристига през тунел, не придобива такова, независимо как е написана crypto map. Затова въпросът няма числов отговор.

Практичният следващ въпрос е по-добър: коя политика допуска клона до сървъра и коя го държи далеч от самата защитна стена. Това са два отговора и процедурата по-долу ги разделя.

Нивата на сигурност принадлежат на интерфейсите

Изпълнете show running-config interface и ще видите security-level под всеки физически интерфейс или VLAN интерфейс, а не под групата на тунела или crypto map. Разрешението по подразбиране от по-високо към по-ниско се оценява между тези интерфейси, затова числото променя поведението на инспекцията и неявната ACL по пътя, към който принадлежи.

При разшифрован VPN поток входът все още е външният интерфейс, където завършва тунелът, а изходът е вътрешният интерфейс към сървъра. Запишете и двете, преди да пипате нещо. Тази единствена стъпка премахва голяма част от объркването, защото превръща абстрактния въпрос за доверие в двойка интерфейси.

Заобикалянето на ACL има именувана граница

sysopt connection permit-vpn е настройката, която хората наполовина помнят, когато казват, че VPN трафикът игнорира ACL. Тя наистина пропуска ACL на интерфейса за трафик, който се квалифицира като VPN трафик, и ръководството за параметри на 9.x я ограничава по интерфейс и посока, вместо да обявява глобално изключение.

Проверете какво е конфигурирано, преди да разсъждавате по памет:

  • show running-config all sysopt, за да видите действителната стойност, не само редовете, различни от подразбиращите се.
  • show running-config access-group, за да видите коя ACL е приложена към кой интерфейс и посока.
  • show vpn-sessiondb detail l2l, за да потвърдите коя група на тунела и кой филтър всъщност използва сесията.

Изключването на тази настройка, за да се затегне VPN достъпът, е промяна с широк обхват. Тя подчинява отново всеки квалифициран VPN поток на външната ACL, което обикновено чупи работещи тунели по начини, несвързани с клона, за който ви попитаха.

Прочетете филтъра, прикачен към сесията

Истинският контрол за всеки тунел е VPN филтърът: ACL, посочена от групова политика или от потребителско име, прилагана след разшифроване и преди шифроване. Филтър на потребителско ниво надхвърля стойността на групово ниво, така че двама души в една и съща група на тунела могат да имат различен ефективен достъп.

Потвърдете приоритета, вместо да го предполагате. show running-config group-policy <name> показва груповата стойност, а show running-config username <name> показва дали съществува стойност за потребител. Ако съществуват и двете, потребителската стойност печели. След това сравнете записите на тази ACL с потока, който ви интересува, в посоката, в която филтърът оценява.

Филтър, който разрешава сървъра на приложението, не казва нищо за управлението. Това са отделни правила по отделен път.

Проверете едно разрешение и една забрана

Packet-tracer е най-бързият начин да видите решението, без да чакате потребител да го докладва. Дайте му потока от разшифрованата страна и го оставете да назове етапите на ACL, NAT и инспекция, през които минава.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прочетете реда с резултата: той назовава ACL, която е разрешила или отхвърлила пакета.
  3. Повторете с административната дестинация на вътрешния интерфейс и потвърдете забрана.
  4. Повторете още веднъж след всяка промяна, така че да са записани и състоянието преди, и след.

След това проверете с реален трафик: една успешна заявка към приложение от клона и един неуспешен SSH опит към ASA. Packet-tracer моделира пътя; живият поток доказва, че моделът е съвпаднал.

Върнете промяната, която го накара да работи

Ако поправката беше изключване на заобикалянето на ACL или разширяване на филтър, запазете предишната конфигурация. Снимка с show run на засегнатите обекти, запазена преди промяната, е достатъчна, за да ги възстановите; конфигурацията на ASA е ориентирана към редове, така че връщането означава повторно въвеждане на старите редове, а не възстановяване на файл.

Запишете двойката интерфейси, ефективния филтър, името на ACL от packet-tracer и точните команди, които сте променили. Този запис превръща следващия преглед в петминутна проверка вместо поредния дебат за нивата на доверие.

Подобни статии