কেন ASA-র TACACS+ অনুরোধ আপনার শাখা VPN টানেল এড়িয়ে যায়

শাখা টানেল চালু আছে, ব্যবহারকারীরা দূরবর্তী TACACS+ সার্ভারে প্রমাণীকরণ করছে, অথচ ফায়ারওয়ালের নিজের লগইন এখনও সময় শেষ হয়ে ব্যর্থ হয়। কারণ টানেলে কোনো ত্রুটি নয়: একটি LAN-to-LAN টানেল কেবল সেই ট্র্যাফিক বহন করে যা এর সিলেক্টরগুলির সঙ্গে মেলে, আর ASA নিজের সম্পর্কে যে ম্যানেজমেন্ট ট্র্যাফিক তৈরি করে তা নিজস্ব সোর্স ঠিকানাযুক্ত আলাদা একটি ফ্লো। বেশিরভাগ দল এটি আবিষ্কার করে পরিবর্তনের সময়সূচিতে, যখন একমাত্র প্রশাসক অ্যাকাউন্টটিই ব্যর্থ হচ্ছে। ASA-র শুরু করা AAA সেশনকে এমন একটি ফ্লো হিসেবে ধরুন যা আপনাকে ডিজাইন করতে হবে, এমন সংযোগের পার্শ্বপ্রতিক্রিয়া হিসেবে নয় যা আগেই কাজ করছে।

ASA-ই ক্লায়েন্ট, আর তার নিজের ট্র্যাফিকের নিজের পথ দরকার

যখন ফায়ারওয়াল কোনো TACACS+ সার্ভারের সঙ্গে যোগাযোগ করে, তখন ফায়ারওয়াল অন্য যেকোনো ক্লায়েন্টের মতোই, শুধু পার্থক্য এই যে কেউ সচেতনভাবে এর জন্য রুট কনফিগার করেনি। এর প্যাকেটগুলো ডিভাইসের একটি ইন্টারফেস ঠিকানা থেকে উৎপন্ন হয়, সেগুলো ফরওয়ার্ড না হয়ে স্থানীয়ভাবে তৈরি হয়, এবং ব্যবহারকারীর ট্র্যাফিকের মতোই সেগুলোকে রাউট, ট্রান্সলেট ও নীতিমালা দিয়ে সুরক্ষিত করতে হয়। ব্যবহারকারীর সাবনেট সুরক্ষিত করা সাইট-থেকে-সাইট টানেল স্বয়ংক্রিয়ভাবে সেই ম্যানেজমেন্ট সোর্সকে সুরক্ষিত করে না, কারণ ট্র্যাফিক নির্বাচন ঠিকানা ভিত্তিক, অভিপ্রায় ভিত্তিক নয়।

সার্ভার যে ঠিকানা দেখবে বলে আপনি আশা করেন, সেটি লিখে রাখুন। যদি এক লাইনে তা বলতে না পারেন, তাহলে আপনার এখনও কোনো ডিজাইন নেই।

aaa-server লাইনের ইন্টারফেস সাজসজ্জা নয়

ASA-তে aaa-server হোস্ট এন্ট্রি বন্ধনীতে একটি ইন্টারফেস সংযোগ নেয়, এবং Cisco-র AAA হোস্ট কমান্ড রেফারেন্স এটিকে সেই ইন্টারফেস হিসেবে বর্ণনা করে যেখানে প্রমাণীকরণ সার্ভার অবস্থিত। এই সংযোগই অনুরোধটিকে একটি ইন্টারফেসের সঙ্গে এবং সেই ইন্টারফেস যে নীতি প্রয়োগ করে তার সঙ্গে বেঁধে দেয়। ইন্টারনেটের দিকে মুখ করা যেকোনো ইন্টারফেস দিয়ে এটি বেছে নিলে, বা গত মাইগ্রেশন থেকে যা ছিল তাই রেখে দিলে, এমন একটি সোর্স ঠিকানা তৈরি হয় যার জন্য দূরবর্তী সার্ভার ও টানেল কখনও তৈরি হয়নি।

inside তখনই সঠিক উত্তর যখন নামযুক্ত ইন্টারফেসটি সেই ঠিকানা ধারণ করে যা আপনার ডিজাইন সোর্স হিসেবে ব্যবহার করতে চায়। শাখা ডিভাইসে এটি প্রায়শই হয়; একাধিক প্রাইভেট সেগমেন্টযুক্ত ডিভাইসে নাও হতে পারে।

সংযোগ বদলানো মানে এন্ট্রি পুনরায় তৈরি করা

একই কমান্ড রেফারেন্স একটি সম্পাদনা সীমাবদ্ধতা নথিভুক্ত করে যা কাটওভারের সময় মানুষকে ফাঁদে ফেলে: বিদ্যমান হোস্টে ইন্টারফেস বদলাতে হলে হোস্ট এন্ট্রি মুছে পুনরায় তৈরি করতে হয়। সম্পাদিত দেখতে পাওয়া একটি কনফিগারেশন কার্যকর না-ও হতে পারে, এবং পরের লগইন চেষ্টা এখনও পুরোনো ঠিকানা থেকেই বের হবে। এটি জায়গায় বদল নয়, বরং মূল এন্ট্রির একটি কপি সামনে রেখে মুছে-যোগ করার কাজ হিসেবে পরিকল্পনা করুন।

একাধিক সার্ভার সংজ্ঞায়িত থাকলে একটি বদলে পরীক্ষা করুন, তারপর বাকিগুলোতে হাত দিন, যাতে একটি ভুল একসঙ্গে সব প্রশাসনিক পথ বন্ধ না করে দেয়।

সিলেক্টর, ট্রান্সলেশন ও ফেরার পথ একসঙ্গে দেখুন

অনুরোধটি পৌঁছাতে তিনটি জিনিসকে মিলতে হবে। টানেলের ট্র্যাফিক সিলেক্টর, বা আপনি টানেল-ইন্টারফেস সুরক্ষা চালালে সেটি, অবশ্যই ASA-র নিজস্ব সোর্স ও সার্ভারের ঠিকানা অন্তর্ভুক্ত করবে; ব্যবহারকারী সাবনেটের জন্য তৈরি সিলেক্টর তালিকা সাধারণত তা করবে না। পথে থাকা যেকোনো NAT নিয়মকে সেই সোর্স ধারাবাহিকভাবে ট্রান্সলেট করতে হবে, কারণ সার্ভার এমন একটি নেটওয়ার্ক-ডিভাইস পরিচয় অনুমোদন করে যাতে সে যে ঠিকানা দেখে তা অন্তর্ভুক্ত থাকে। আর ফেরার পথ থাকতে হবে, যার অর্থ পলিসি-ভিত্তিক টানেলে অপর প্রান্তে বিপরীত দিকে একটি মিলছে সিলেক্টর আছে।

সার্ভার প্রান্তে ডিভাইস পরিচয়, শেয়ার্ড সিক্রেট ও প্রশাসনিক নীতি আলাদা আলাদাভাবে নিশ্চিত করুন। TACACS+ প্রমাণীকরণ, অনুমোদন ও হিসাবরক্ষণকে পৃথক ক্রিয়া হিসেবে রাখে, তাই সম্পূর্ণ বিনিময়ের পরে আসা প্রত্যাখ্যান একটি নীতিগত উত্তর, পরিবহন ব্যর্থতা নয়। এটিকে নেটওয়ার্ক সমস্যা হিসেবে পড়লে আপনি ভুল জায়গায় খুঁজবেন।

ডিবাগ করার সময় সিক্রেটকে প্যাকেট ক্যাপচার, টিকিট ও ট্রান্সক্রিপ্টের বাইরে রাখুন, এবং মনে রাখুন সার্ভার যে সোর্স ঠিকানা লগ করে সেটিই সেই ঠিকানা যা আপনার ডিজাইনকে ব্যাখ্যা করতে হবে।

নিজেকে লক আউট না করে পরিবর্তনটি করুন

দূরবর্তী প্রশাসনিক প্রমাণীকরণ বদলানোর সময় কনসোল বা একটি স্বাধীন ম্যানেজমেন্ট পথ ব্যবহার করুন, এবং নতুন পথটি সত্যিকারের একটি লগইন না করা পর্যন্ত অনুমোদিত স্থানীয় ফলব্যাক রাখুন। তারপর সংকীর্ণভাবে যাচাই করুন: একটি সার্ভার, একটি ডিভাইস, উভয় প্রান্তে পর্যবেক্ষণ করা সোর্স ঠিকানাসহ একটি সফল প্রমাণীকরণ।

ফ্লোটি আলাদা পাতায় লিপিবদ্ধ করুন: উৎপন্নকারী ইন্টারফেস ও ঠিকানা, দূরবর্তী সার্ভার, সুরক্ষিত পথ, এবং অনুমোদন নীতির মালিক ব্যক্তি। তখন পরবর্তী ইন্টারফেস বা টানেল পরিবর্তন দুই ফ্লোর মধ্যে কোনটি প্রভাবিত করে তা অনুমান না করেই মূল্যায়ন করা যাবে।