VPN između lokacija radi, ali ASA zapisi ne dolaze: provjerite izvornu adresu

Unutrašnji hostovi dostižu udaljeni kolektor i njihovi syslog redovi se pojavljuju. Vlastite ASA poruke o tim istim sesijama nikada ne stižu. Ništa nije pogrešno ni s kolektorom ni s tunelom, i to je zbunjujući dio. Firewall šalje svoje zapise s izvora koji tunel nikada nije bio napravljen da štiti.

Šta stiže, a šta ne

Počnite razdvajanjem dva toka koji na nadzornoj ploči izgledaju identično. Proslijeđeni saobraćaj prolazi kroz ASA: LAN host šalje kolektoru, ASA to upoređuje s pravilima tunela, šifrira ga i kolektor vidi adresu hosta. Generisani saobraćaj počinje na samom ASA: uređaj sastavlja syslog paket, bira izlazni interfejs i izvor i tek onda pita da li se poklapa ijedno pravilo tunela. Prvi tok dokazuje da tunel radi, a o drugom ne govori ništa.

Baferisani događaj na uređaju također nije dokaz udaljene isporuke, jer zapis može postojati lokalno i nikada nije poslan. Provjerite brojače prijema na kolektoru prije nego što okrivite tunel, jer prazan brojač je drugačiji nalaz od brojača koji raste.

Generisana poruka nije proslijeđeni saobraćaj

Kada ASA sam generiše paket, on ne posreduje za LAN host. Izvor dolazi s izlaznog interfejsa ili iz eksplicitnog podešavanja izvora, a paket ulazi u isto traženje rute i iste provjere pravila kao i sve drugo što uređaj šalje. To znači da VPN selektor mora uključivati adresu koju ASA stvarno koristi, a to je često njegov vanjski interfejs, a ne unutrašnja podmreža.

Ako pravila štite 10.20.0.0/24, a ASA kao izvor koristi svoju vanjsku adresu, paket zapisa ili izlazi u čistom tekstu prema kolektoru do kojeg ne može doći, ili biva odbačen. Oba ishoda sa strane kolektora izgledaju isto. Ista logika vrijedi i za upravljački saobraćaj, zato je management-access zasebna projektna odluka.

Koji izvor ASA stavlja na mrežu

Pronađite izvor empirijski, a ne pretpostavkom. Snimanje na izlaznom interfejsu tokom testne poruke pokazuje stvarni izvor i odredište i troši manje vremena od čitanja tri dijela konfiguracije. Uporedite tu adresu s lokalnim selektorom tunela.

Neka izdanja dopuštaju da se izvor zapisa veže za interfejs, a referenca komandi za vašu verziju je autoritet za to postoji li ta opcija i šta mijenja. Naredba source-interface s druge Cisco platforme nije automatski valjana na ASA.

Ako ipak promijenite izvor, učinite to namjerno i zabilježite, jer ACL-ovi kolektora i svaka korelacija zasnovana na syslogu zavise od njega.

Uskladite selektor s tokom zapisa

Kada je izvor poznat, provjerite tri stvari po redu: kripto ACL ili selektor zasnovan na pravilima koji odlučuje koji je saobraćaj zanimljiv, rutu koja odlučuje kuda paket ide i svako NAT pravilo koje može prepisati izvor prije šifriranja. Paket koji odgovara ruti ali ne selektoru ne prolazi kroz tunel, a paket koji NAT prepiše možda ne odgovara ni jednom.

Strana kolektora ima vlastite zahtjeve: ACL koji dopušta izvor ASA-e, povratnu rutu i uslugu koja sluša na portu koji ste konfigurisali. Prijenos je i ovdje važan, jer se TCP i TLS zapisivanje ponaša drugačije od UDP-a na djelimično blokiranom putu. Mijenjajte jedan element po jedan, inače sljedeće snimanje neće reći koja je promjena bila važna.

Provjerite na kolektoru, zatim zabilježite izvor

Potvrdite da poruka stiže, zatim zapišite izvornu adresu koju je ASA koristio, selektor koji ju je prenio i nivo ozbiljnosti s kojim ste testirali.

Taj zapis pretvara sljedeću promjenu ACL-a kolektora ili uređivanje selektora u dvominutnu provjeru umjesto ponovnog otkrivanja. Također dokumentuje koji je od dva toka ikada validiran, a upravo taj dio većina priručnika izostavlja. Ako poruka još ne stiže, privremeno snizite prag ozbiljnosti i testirajte prema jednom odredištu.

Ciscov FAQ o ASA zapisivanju dokumentuje slučaj s vanjskim izvorom koji zahtijeva odgovarajuću definiciju zaštićenog saobraćaja, a njegov primjer s unutrašnjim izvorom uključuje i host za zapise iznutra i management-access iznutra. Tretirajte dokumentovanu kombinaciju i kontekst softvera zajedno, umjesto da pretpostavite da jedna kopirana linija odgovara svakoj konfiguraciji.

Tunel koji nosi LAN saobraćaj nije tunel koji nosi vlastiti glas firewalla.