Dobija li VPN podmreža sigurnosni nivo ASA interfejsa?

Dešifrirana VPN podmreža nikada ne nasljeđuje sigurnosni nivo interfejsa. Provjerite sysopt connection permit-vpn, filter grupe i pristup za upravljanje odvojeno.

Neko pita da li VPN podmreža podružnice na ASA ima „sigurnosni nivo 0 ili 100“, a pitanje već sadrži grešku. Sigurnosni nivo je svojstvo lokalnog interfejsa i dodjeljuje se od 0 do 100 u konfiguraciji interfejsa. Udaljena podmreža koja dolazi kroz tunel ne dobija ga, kako god da je crypto map napisan. Zato pitanje nema brojčani odgovor.

Praktično pitanje koje slijedi je bolje: koja politika pušta podružnicu do servera, a koja je drži podalje od samog firewall-a. To su dva odgovora, a postupak ispod ih razdvaja.

Sigurnosni nivoi pripadaju interfejsima

Pokrenite show running-config interface i vidjet ćete security-level ispod svakog fizičkog ili VLAN interfejsa, a ne ispod grupe tunela ili crypto map-a. Zadano dopuštenje od višeg ka nižem procjenjuje se između tih interfejsa, zato broj mijenja ponašanje inspekcije i implicitne ACL na putu kojem pripada.

Za dešifrirani VPN tok ulaz je i dalje vanjski interfejs na kojem tunel završava, a izlaz je unutrašnji interfejs prema serveru. Zapišite oba prije nego što bilo šta dodirnete. Taj jedan korak uklanja većinu zabune, jer pretvara apstraktno pitanje povjerenja u par interfejsa.

Zaobilaženje ACL-a ima imenovanu granicu

sysopt connection permit-vpn je postavka koje se ljudi napola sjećaju kada kažu da VPN saobraćaj ignoriše ACL-ove. Ona zaista preskače ACL interfejsa za saobraćaj koji se kvalifikuje kao VPN saobraćaj, a vodič za parametre 9.x ograničava je po interfejsu i smjeru umjesto da proglašava globalni izuzetak.

Provjerite šta je konfigurisano prije nego što zaključujete po sjećanju:

  • show running-config all sysopt da vidite stvarnu vrijednost, ne samo linije koje nisu zadane.
  • show running-config access-group da vidite koji je ACL primijenjen na koji interfejs i smjer.
  • show vpn-sessiondb detail l2l da potvrdite koju grupu tunela i filter sesija zaista koristi.

Isključivanje te postavke radi pooštravanja VPN pristupa promjena je sa širokim dometom. Ona ponovo podvrgava svaki kvalifikovani VPN tok vanjskom ACL-u, što obično kvari tunele koji rade na načine nepovezane s podružnicom o kojoj ste pitani.

Pročitajte filter vezan za sesiju

Prava kontrola po tunelu je VPN filter: ACL na koji upućuje politika grupe ili korisničko ime, primijenjen nakon dešifriranja i prije šifriranja. Filter na nivou korisnika nadjačava vrijednost na nivou grupe, pa dvoje ljudi u istoj grupi tunela mogu imati različit efektivni pristup.

Potvrdite prvenstvo umjesto da ga pretpostavljate. show running-config group-policy <name> prikazuje vrijednost grupe, a show running-config username <name> prikazuje postoji li vrijednost po korisniku. Ako postoje obje, pobjeđuje korisnička vrijednost. Zatim uporedite unose tog ACL-a s tokom koji vas zanima, u smjeru u kojem filter procjenjuje.

Filter koji dopušta aplikacijski server ne govori ništa o upravljanju. To su odvojena pravila na odvojenom putu.

Provjerite jedno dopuštenje i jedno odbijanje

Packet-tracer je najbrži način da vidite odluku bez čekanja da je korisnik prijavi. Dajte mu tok s dešifrirane strane i pustite ga da navede faze ACL-a, NAT-a i inspekcije kroz koje prolazi.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Pročitajte red rezultata: navodi ACL koji je dopustio ili odbacio paket.
  3. Ponovite s administrativnim odredištem na unutrašnjem interfejsu i potvrdite odbijanje.
  4. Ponovite još jednom nakon svake promjene, da budu zabilježena oba stanja, prije i poslije.

Zatim provjerite stvarnim saobraćajem: jedan uspješan zahtjev aplikacije iz podružnice i jedan neuspješan SSH pokušaj prema ASA. Packet-tracer modelira put; živi tok dokazuje da se model poklopio.

Vratite promjenu koja je to popravila

Ako je popravka bila isključivanje zaobilaženja ACL-a ili proširivanje filtera, zadržite prethodnu konfiguraciju. Snimak show run zahvaćenih objekata, sačuvan prije promjene, dovoljan je da ih vratite; ASA konfiguracija je orijentisana na linije, pa vraćanje znači ponovni unos starih linija, a ne vraćanje datoteke.

Zabilježite par interfejsa, efektivni filter, naziv ACL-a iz packet-tracera i tačne komande koje ste promijenili. Taj zapis pretvara sljedeću reviziju u petominutnu provjeru umjesto još jedne rasprave o nivoima povjerenja.

Povezani članci