VPN সাবনেট কি ASA ইন্টারফেসের নিরাপত্তা স্তর পায়?

ডিক্রিপ্ট করা VPN সাবনেট কখনোই ইন্টারফেসের নিরাপত্তা স্তর উত্তরাধিকার পায় না। sysopt connection permit-vpn, গ্রুপ ফিল্টার ও ম্যানেজমেন্ট অ্যাক্সেস আলাদাভাবে যাচাই করুন।

কেউ জিজ্ঞেস করে ব্র্যাঞ্চের VPN সাবনেটটি ASA-তে «নিরাপত্তা স্তর 0 বা 100» কি না, আর প্রশ্নটিতেই ভুলটি রয়েছে। নিরাপত্তা স্তর হলো একটি লোকাল ইন্টারফেসের বৈশিষ্ট্য, যা ইন্টারফেস কনফিগারেশনে 0 থেকে 100 পর্যন্ত নির্ধারিত হয়। টানেলের মাধ্যমে আসা একটি দূরবর্তী সাবনেট কোনো স্তর পায় না, ক্রিপ্টো ম্যাপ যেভাবেই লেখা হোক। তাই প্রশ্নটির কোনো সংখ্যাগত উত্তর নেই।

ব্যবহারিক পরবর্তী প্রশ্নটি ভালো: কোন নীতি ব্র্যাঞ্চকে সার্ভারে ঢুকতে দেয়, আর কোনটি তাকে ফায়ারওয়ালের নিজের থেকে দূরে রাখে। এগুলো দুটি উত্তর, এবং নিচের পদ্ধতি তাদের আলাদা করে।

নিরাপত্তা স্তর ইন্টারফেসেরই

show running-config interface চালান, দেখবেন প্রতিটি ফিজিক্যাল বা VLAN ইন্টারফেসের অধীনে security-level আছে, টানেল গ্রুপ বা ক্রিপ্টো ম্যাপের অধীনে নয়। ডিফল্ট উচ্চ-থেকে-নিম্ন অনুমোদন ওই ইন্টারফেসগুলোর মধ্যে মূল্যায়িত হয়, তাই সংখ্যাটি যে পথের, সেখানে ইনস্পেকশন ও অন্তর্নিহিত ACL আচরণ বদলায়।

ডিক্রিপ্ট করা VPN ফ্লোতে ইনগ্রেস এখনও সেই আউটসাইড ইন্টারফেস যেখানে টানেল শেষ হয়, আর ইগ্রেস হলো সার্ভারের দিকে ইনসাইড ইন্টারফেস। কিছু স্পর্শ করার আগে দুটোই লিখে রাখুন। এই একটি ধাপই বেশিরভাগ বিভ্রান্তি দূর করে, কারণ এটি একটি বিমূর্ত আস্থার প্রশ্নকে ইন্টারফেস জোড়ায় বদলে দেয়।

ACL বাইপাসের একটি নামকরা সীমা আছে

sysopt connection permit-vpn হলো সেই সেটিং যেটি মানুষ আধা-মনে রাখে যখন বলে VPN ট্রাফিক ACL উপেক্ষা করে। এটি VPN ট্রাফিক হিসেবে যোগ্য ট্রাফিকের জন্য ইন্টারফেস ACL সত্যিই এড়িয়ে যায়, আর 9.x প্যারামিটার গাইড এটিকে বিশ্বব্যাপী ব্যতিক্রম ঘোষণা না করে ইন্টারফেস ও দিক অনুযায়ী সীমাবদ্ধ করে।

স্মৃতি থেকে যুক্তি দেওয়ার আগে কনফিগার করা আছে কী দেখুন:

  • show running-config all sysopt কার্যকর মান দেখতে, শুধু নন-ডিফল্ট লাইন নয়।
  • show running-config access-group কোন ACL কোন ইন্টারফেসে ও দিকে প্রয়োগ হয়েছে দেখতে।
  • show vpn-sessiondb detail l2l সেশনটি আসলে কোন টানেল গ্রুপ ও ফিল্টার ব্যবহার করছে তা নিশ্চিত করতে।

VPN অ্যাক্সেস কঠোর করতে ওই সেটিং বন্ধ করা বড় প্রভাবের পরিবর্তন। এটি প্রতিটি যোগ্য VPN ফ্লোকে আবার আউটসাইড ACL-এর অধীন করে, যা সাধারণত যে ব্র্যাঞ্চ নিয়ে আপনাকে জিজ্ঞেস করা হয়েছিল তার সঙ্গে সম্পর্কহীনভাবে কাজ করা টানেল ভেঙে দেয়।

সেশনের সঙ্গে যুক্ত ফিল্টারটি পড়ুন

প্রতি-টানেল আসল নিয়ন্ত্রণ হলো VPN ফিল্টার: গ্রুপ পলিসি বা ইউজারনেম দ্বারা উল্লিখিত একটি ACL, যা ডিক্রিপশনের পরে ও এনক্রিপশনের আগে প্রয়োগ হয়। ইউজার-স্তরের ফিল্টার গ্রুপ-স্তরের মানকে অতিক্রম করে, তাই একই টানেল গ্রুপের দুইজনের কার্যকর অ্যাক্সেস ভিন্ন হতে পারে।

অগ্রাধিকার ধরে না নিয়ে নিশ্চিত করুন। show running-config group-policy <name> গ্রুপের মান দেখায়, আর show running-config username <name> দেখায় প্রতি-ব্যবহারকারীর মান আছে কি না। দুটোই থাকলে ব্যবহারকারীর মান জেতে। তারপর ওই ACL-এর এন্ট্রিগুলো আপনি যে ফ্লো নিয়ে ভাবছেন তার সঙ্গে, ফিল্টার যে দিকে মূল্যায়ন করে সেই দিকে মিলিয়ে দেখুন।

অ্যাপ্লিকেশন সার্ভারকে অনুমতি দেওয়া ফিল্টার ম্যানেজমেন্ট সম্পর্কে কিছুই বলে না। এগুলো আলাদা পথে আলাদা নিয়ম।

একটি অনুমোদন ও একটি প্রত্যাখ্যান যাচাই করুন

ব্যবহারকারীর রিপোর্টের জন্য না অপেক্ষা করে সিদ্ধান্তটি দেখার দ্রুততম উপায় হলো Packet-tracer। এটিকে ডিক্রিপ্ট-পাশের ফ্লো দিন এবং যে ACL, NAT ও ইনস্পেকশন ধাপগুলো এটি পার হয় সেগুলোর নাম বলতে দিন।

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. ফলাফলের লাইনটি পড়ুন: এটি সেই ACL-এর নাম বলে যা প্যাকেট অনুমোদন বা বাদ দিয়েছে।
  3. ইনসাইড ইন্টারফেসে প্রশাসনিক গন্তব্য নিয়ে পুনরাবৃত্তি করুন এবং একটি প্রত্যাখ্যান নিশ্চিত করুন।
  4. যেকোনো পরিবর্তনের পরে আরও একবার পুনরাবৃত্তি করুন, যাতে আগের ও পরের অবস্থা দুটোই লিপিবদ্ধ থাকে।

তারপর বাস্তব ট্রাফিকে যাচাই করুন: ব্র্যাঞ্চ থেকে একটি সফল অ্যাপ্লিকেশন অনুরোধ এবং ASA-তে একটি ব্যর্থ SSH চেষ্টা। Packet-tracer পথটি মডেল করে; একটি জীবন্ত ফ্লো প্রমাণ করে মডেলটি মিলেছে।

যে পরিবর্তন এটি কাজ করিয়েছে তা ফিরিয়ে নিন

যদি সমাধানটি ACL বাইপাস বন্ধ করা বা ফিল্টার প্রশস্ত করা হয়, আগের কনফিগারেশন রেখে দিন। পরিবর্তনের আগে সংরক্ষিত আক্রান্ত অবজেক্টগুলোর একটি show run ক্যাপচার সেগুলো পুনরুদ্ধার করতে যথেষ্ট; ASA কনফিগারেশন লাইন-ভিত্তিক, তাই ফেরানো মানে পুরোনো লাইনগুলো আবার লিখা, কোনো ফাইল পুনরুদ্ধার নয়।

ইন্টারফেস জোড়া, কার্যকর ফিল্টার, packet-tracer থেকে ACL-এর নাম এবং আপনার বদলানো সঠিক কমান্ডগুলো লিখে রাখুন। এই রেকর্ডটি পরের পর্যালোচনাকে আস্থার স্তর নিয়ে আরেকটি বিতর্কের বদলে পাঁচ মিনিটের যাচাইয়ে পরিণত করে।

সম্পর্কিত নিবন্ধ