El VPN entre seus funciona, però els registres de l’ASA no arriben: reviseu l’adreça d’origen

Els equips interns arriben al col·lector remot i les seves línies syslog apareixen. Els missatges propis de l’ASA sobre aquestes mateixes sessions no arriben mai. No hi ha res malament ni amb el col·lector ni amb el túnel, i aquesta és la part confusa. El tallafoc envia els seus registres des d’una font que el túnel no es va construir mai per protegir.

Què arriba i què no

Comenceu separant dos fluxos que al tauler semblen idèntics. El trànsit reenviat passa per l’ASA: un equip LAN envia al col·lector, l’ASA el compara amb la política del túnel, el xifra i el col·lector veu l’adreça de l’equip. El trànsit generat comença a l’ASA mateix: la màquina construeix un paquet syslog, tria una interfície de sortida i una font i només després pregunta si hi encaixa cap política de túnel. El primer flux demostra que el túnel funciona i no diu res del segon.

Un esdeveniment memoritzat al dispositiu tampoc no és prova de lliurament remot, perquè el registre pot existir localment i no haver-se transmès mai. Reviseu els comptadors de recepció del col·lector abans de culpar el túnel, perquè un comptador buit és una troballa diferent d’un que creix.

Un missatge generat no és trànsit reenviat

Quan l’ASA origina un paquet, no fa de proxy d’un equip LAN. La font ve de la interfície de sortida o d’un paràmetre de font explícit, i el paquet entra en la mateixa cerca de ruta i les mateixes comprovacions de política que qualsevol altra cosa que enviï la màquina. Això vol dir que el selector del VPN ha d’incloure l’adreça que l’ASA fa servir realment, que sovint és la seva interfície exterior i no una subxarxa interior.

Si la política protegeix 10.20.0.0/24 i l’ASA pren com a font la seva adreça exterior, el paquet de registre o surt en text clar cap a un col·lector al qual no pot arribar, o es descarta. Els dos resultats semblen idèntics des del costat del col·lector. El mateix raonament val per al trànsit de gestió, i per això management-access és una decisió de disseny a part.

Quina font posa l’ASA a la xarxa

Trobeu la font empíricament, no per suposició. Una captura a la interfície de sortida durant un missatge de prova mostra la font i la destinació reals, i costa menys temps que llegir tres seccions de configuració. Compareu aquesta adreça amb el selector local del túnel.

Algunes versions permeten fixar la font de registre a una interfície, i la referència d’ordres de la vostra versió és l’autoritat sobre si aquesta opció existeix i què canvia. Una ordre source-interface d’una altra plataforma Cisco no és automàticament vàlida en un ASA.

Si canvieu la font, canvieu-la deliberadament i anoteu-ho, perquè les ACL del col·lector i qualsevol correlació basada en syslog en depenen.

Feu coincidir el selector amb el flux de registre

Un cop coneguda la font, reviseu tres coses per ordre: l’ACL de criptografia o el selector basat en política que decideix quin trànsit és interessant, la ruta que decideix on va el paquet i qualsevol regla NAT que pugui reescriure la font abans del xifratge. Un paquet que coincideix amb la ruta però no amb el selector no passa pel túnel, i un paquet reescrit per NAT pot no coincidir amb cap dels dos.

El costat del col·lector té requisits propis: una ACL que permeti la font de l’ASA, una ruta de retorn i un servei d’escolta al port que heu configurat. El transport també hi compta, perquè el registre per TCP i TLS es comporta diferent de l’UDP en un camí parcialment bloquejat. Canvieu un element alhora, o la propera captura no us dirà quin canvi va importar.

Verifiqueu al col·lector i després anoteu la font

Confirmeu que el missatge arriba, després anoteu l’adreça d’origen que va fer servir l’ASA, el selector que el va portar i la gravetat amb què vau provar.

Aquest registre converteix el proper canvi d’ACL del col·lector o l’edició del selector en una comprovació de dos minuts en lloc d’un redescobriment. També documenta quin dels dos fluxos s’ha validat mai, que és la part que més runbooks ometen. Si el missatge encara no arriba, baixeu temporalment el llindar de gravetat i proveu contra una sola destinació.

El FAQ de registre de l’ASA de Cisco documenta un cas amb origen extern que necessita la definició corresponent de trànsit protegit, i el seu exemple amb origen intern inclou tant un equip de registre a l’interior com management-access a l’interior. Tracteu la combinació documentada i el context del programari alhora, en lloc de suposar que una línia copiada encaixa en qualsevol configuració.

Un túnel que transporta trànsit LAN no és un túnel que transporta la veu pròpia del tallafoc.