Zašto TACACS+ zahtjevi ASA-e zaobilaze VPN tunel vaše poslovnice

Tunel poslovnice je aktivan, korisnici se autentifikuju na udaljeni TACACS+ server, a vlastita prijava firewall-a i dalje ističe. Razlog nije greška u tunelu: LAN-to-LAN tunel prenosi saobraćaj koji odgovara njegovim selektorima, a upravljački saobraćaj koji ASA generiše o sebi je odvojen tok s vlastitom izvornom adresom. Većina timova to otkrije tokom prozora za promjene, kada je jedini administratorski račun upravo onaj koji ne uspijeva. Tretirajte AAA sesiju koju pokreće ASA kao tok koji morate projektovati, a ne kao nuspojavu povezanosti koja već radi.

ASA je klijent i njen vlastiti saobraćaj treba vlastitu putanju

Kada firewall kontaktira TACACS+ server, firewall je klijent kao i svaki drugi, osim što mu niko namjerno nije konfigurisao rutu. Njegovi paketi potiču s adrese interfejsa na uređaju, generiraju se lokalno umjesto da se prosljeđuju, i moraju se rutirati, prevoditi i štititi politikom baš kao korisnički saobraćaj. Tunel od lokacije do lokacije koji štiti korisničku podmrežu ne štiti automatski taj upravljački izvor, jer se odabir saobraćaja zasniva na adresama, a ne na namjeri.

Zapišite adresu koju očekujete da će server vidjeti. Ako je ne možete izgovoriti u jednom redu, još nemate dizajn.

Interfejs u liniji aaa-server nije ukras

Na ASA-i aaa-server unos hosta prima vezu s interfejsom u zagradama, a Cisco-ov priručnik za AAA host komande opisuje ga kao interfejs na kojem se nalazi server za autentifikaciju. Upravo ta veza povezuje zahtjev s interfejsom i s politikom koju taj interfejs primjenjuje. Ako ga odaberete prema tome koji interfejs gleda u internet, ili ostavite ono što je ostalo od zadnje migracije, dobijate izvornu adresu za koju udaljeni server i tunel nikada nisu napravljeni.

inside je tačan odgovor samo kada imenovani interfejs drži adresu koju vaš dizajn namjerava koristiti kao izvor. Na uređaju u poslovnici to je često slučaj; na uređaju s nekoliko privatnih segmenata možda nije.

Promjena veze znači ponovno kreiranje unosa

Isti priručnik dokumentuje ograničenje uređivanja koje ljude uhvati tokom prelazaka: promjena interfejsa na postojećem hostu zahtijeva uklanjanje i ponovno kreiranje unosa hosta. Konfiguracija koja izgleda uređeno možda nije stupila na snagu, a sljedeći pokušaj prijave i dalje će krenuti sa stare adrese. Planirajte to kao brisanje i dodavanje s kopijom originalnog unosa pred sobom, a ne kao izmjenu na licu mjesta.

Ako je definirano nekoliko servera, promijenite jedan i testirajte ga prije nego dirate ostale, da greška ne zaključa sve administrativne putanje odjednom.

Provjerite selektore, prevođenje i povratnu putanju zajedno

Tri stvari moraju se složiti da bi zahtjev stigao. Selektori saobraćaja tunela, ili zaštita tunelskog interfejsa ako je koristite, moraju uključivati vlastiti izvor ASA-e i adresu servera; lista selektora napravljena za korisničke podmreže to obično neće učiniti. Svako NAT pravilo na putu mora dosljedno prevoditi taj izvor, jer server autorizuje identitet mrežnog uređaja koji uključuje adresu koju vidi. I povratna putanja mora postojati, što na tunelu zasnovanom na politikama znači da udaljeni kraj ima odgovarajući selektor u drugom smjeru.

Na strani servera odvojeno potvrdite identitet uređaja, zajedničku tajnu i administrativnu politiku. TACACS+ drži autentifikaciju, autorizaciju i obračun kao odvojene operacije, pa je odbijanje koje stigne nakon završene razmjene odgovor politike, a ne transportni kvar. Ako ga čitate kao mrežni problem, tražićete na pogrešnom mjestu.

Držite tajnu izvan snimaka, tiketa i transkripata dok otklanjate problem, i zapamtite da je izvorna adresa koju server bilježi upravo ona koju vaš dizajn mora objasniti.

Napravite promjenu bez zaključavanja sebe

Koristite konzolu ili nezavisnu upravljačku putanju dok mijenjate udaljenu administrativnu autentifikaciju, i držite odobrenu lokalnu rezervu dok nova putanja ne obavi stvarnu prijavu. Zatim provjerite usko: jedan server, jedan uređaj, jedna uspješna autentifikacija s izvornom adresom viđenom na oba kraja.

Zabilježite tok na njegovoj vlastitoj stranici: izvorni interfejs i adresa, udaljeni server, zaštićena putanja i osoba koja posjeduje politiku autorizacije. Tada se kasnija promjena interfejsa ili tunela može procijeniti bez pogađanja koji od dva toka ona pogađa.