Quina regla de l'ASA veu el trànsit després que el VPN el desxifri

La primera suposició que cal descartar és que l'ACL de criptografia sigui una política d'accés. No ho és. En un Cisco ASA, aquesta llista respon una pregunta molt estreta: quins paquets mereixen protecció, i la resposta no diu res sobre si el paquet desxifrat pot arribar al servidor darrere del tallafoc. L'accés es decideix més endavant, per una política d'interfície, per un filtre de política de grup o per tots dos, segons com s'hagi construït el túnel.

L'ACL de criptografia respon una altra pregunta

Una ACL de criptografia és una llista de coincidències. Diu al túnel què ha d'encriptar entre dos iguals; un paquet que no hi coincideix simplement no queda protegit. Ampliar-la canvia l'abast de la protecció i res més.

Per això afegir-hi una subxarxa pot fer pujar un túnel mentre l'aplicació real continua fallant. El túnel puja perquè ara hi ha una coincidència. L'aplicació continua fallant perquè res d'aquella llista no permet res. Dues preguntes diferents, respostes per dues llistes diferents.

Què s'estalvia realment el paràmetre de bypass

sysopt connection permit-vpn permet que el trànsit protegit s'estalviï la comprovació de l'ACL d'interfície que altrament s'aplicaria al costat d'entrada. És una comoditat per a desplegaments de VPN i és global. No toca la política de grup ni toca un filtre d'autorització per usuari.

Llegiu el valor real en lloc de la suposició: show running-config all sysopt imprimeix el paràmetre fins i tot quan mai no s'ha configurat explícitament, i és aquí on comença molta confusió.

Com que el paràmetre és global, provar-lo com un experiment ràpid en una subxarxa que falla és un mal intercanvi. Tots els altres túnels d'aquell tallafoc comparteixen el resultat. Reserveu-lo per a un canvi deliberat amb un pla de reversió.

Llegiu el filtre en la direcció desxifrada

Un vpn-filter LAN-to-LAN s'escriu des del punt de vista del túnel, no de la interfície. La xarxa remota va a la posició d'origen i la xarxa local a la de destinació, perquè així és com es veu el paquet després del desxifratge. El mateix filtre s'avalua després una altra vegada en la direcció oposada abans de l'encriptació, amb els papers de les adreces invertits.

Les condicions de port mereixen més cura que una ACL d'interfície copiada justament per aquest motiu. Una regla que permet un port de destinació pot tenir un efecte no desitjat en la direcció inversa, on una connexió nova fa servir aquell port com a origen. Anoteu quina banda pot iniciar, el servei real i la contrapart que ha de quedar tancada abans de construir la llista.

Confirmeu quin filtre hi ha realment enganxat: show running-config group-policy i show vpn-sessiondb detail l2l junts us diuen què ha heretat la sessió. Editar una ACL a què no fa referència cap política no canvia res.

No reutilitzeu un sol objecte ACL per a dues feines

Una access-group d'interfície i un vpn-filter semblen el mateix tipus d'objecte i s'avaluen en punts diferents amb orientacions d'adreça diferents. Assignar una llista a tots dos convida a un canvi que arregla el túnel i afluixa en silenci la interfície física.

Manteniu-los separats, anomeneu-los per la seva feina i feu visible la diferència de direcció en els noms.

Verifiqueu amb connexions noves, en totes dues direccions

Després d'un canvi planificat, obriu una connexió nova que s'hagi de permetre i una connexió nova que s'hagi de denegar, i després anoteu les adreces, la direcció i la coincidència de política amb el resultat. Una sessió establerta no demostra res sobre el filtratge de connexions noves, perquè ja va ser admesa amb les regles antigues.

Tingueu en compte també la inspecció. La documentació del fabricant assenyala que un filtre VPN comprova la connexió inicial i no cada connexió secundària que obre un motor d'inspecció, de manera que un canal de control i el seu flux de mitjans associat poden rebre un tracte diferent. Si l'aplicació coneix el protocol, proveu el flux real en lloc d'una sola sonda de port.

Un túnel que es torna utilitzable després d'un bypass ampli us diu que la restricció s'ha eliminat, no que s'hagi satisfet. El resultat que val la pena conservar és un punt d'aplicació amb nom al qual pugueu assenyalar en la propera revisió.