Una subxarxa VPN obté el nivell de seguretat de la interfície ASA?

Algú pregunta si la subxarxa VPN de la seu té «nivell de seguretat 0 o 100» a l’ASA, i la pregunta ja conté l’error. El nivell de seguretat és una propietat d’una interfície local i s’assigna de 0 a 100 a la configuració de la interfície. Una subxarxa remota que arriba per un túnel no n’adquireix cap, escriviu com escriviu el crypto map. Per això la pregunta no té cap resposta numèrica.

La pregunta pràctica que segueix és millor: quina política admet la seu cap al servidor i quina la manté lluny del mateix tallafoc. Són dues respostes, i el procediment de sota les separa.

Els nivells de seguretat pertanyen a les interfícies

Executeu show running-config interface i veureu security-level sota cada interfície física o VLAN, no sota el grup de túnel ni el crypto map. El permís predeterminat de més alt a més baix s’avalua entre aquestes interfícies, i per això el número canvia el comportament de la inspecció i de l’ACL implícita al camí al qual pertany.

En un flux VPN desxifrat, l’entrada continua sent la interfície outside on acaba el túnel, i la sortida és la interfície inside cap al servidor. Anoteu les dues abans de tocar res. Aquest sol pas elimina la major part de la confusió, perquè converteix una pregunta abstracta de confiança en un parell d’interfícies.

El salt de l’ACL té una frontera amb nom

sysopt connection permit-vpn és el paràmetre que la gent recorda a mitges quan diu que el trànsit VPN ignora les ACL. Sí que salta l’ACL de la interfície per al trànsit que qualifica com a trànsit VPN, i la guia de paràmetres 9.x l’acota per interfície i direcció en lloc de declarar una excepció global.

Comproveu què hi ha configurat abans de raonar de memòria:

• show running-config all sysopt per veure el valor efectiu, no només les línies que no són predeterminades.
• show running-config access-group per veure quina ACL s’aplica a quina interfície i direcció.
• show vpn-sessiondb detail l2l per confirmar quin grup de túnel i quin filtre fa servir realment la sessió.

Desactivar aquest paràmetre per estrènyer l’accés VPN és un canvi amb un gran abast. Torna a sotmetre cada flux VPN que qualifica a l’ACL exterior, cosa que normalment trenca túnels que funcionaven de maneres sense relació amb la seu per la qual us han preguntat.

Llegiu el filtre adjunt a la sessió

El control real per túnel és el filtre VPN: una ACL referenciada per la política de grup o pel nom d’usuari, aplicada després del desxifrat i abans del xifrat. Un filtre a nivell d’usuari substitueix el valor a nivell de grup, així que dues persones del mateix grup de túnel poden tenir un accés efectiu diferent.

Confirmeu la precedència en lloc de suposar-la. show running-config group-policy <name> mostra el valor del grup, i show running-config username <name> mostra si existeix un valor per usuari. Si existeixen tots dos, guanya el valor de l’usuari. Després compareu les entrades d’aquesta ACL amb el flux que us interessa, en la direcció en què avalua el filtre.

Un filtre que permet el servidor d’aplicacions no diu res sobre la gestió. Són regles separades en un camí separat.

Verifiqueu un permís i una denegació

Packet-tracer és la manera més ràpida de veure la decisió sense esperar que un usuari la reporti. Doneu-li el flux del costat desxifrat i deixeu que nomeni les etapes d’ACL, NAT i inspecció per les quals passa.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Llegiu la línia del resultat: nomena l’ACL que va permetre o va descartar el paquet.
3. Repetiu-ho amb la destinació administrativa a la interfície inside i confirmeu una denegació.
4. Repetiu-ho un cop més després de qualsevol canvi, perquè quedin registrats tant l’estat anterior com el posterior.

Després verifiqueu-ho amb trànsit real: una sol·licitud d’aplicació correcta des de la seu i un intent SSH fallit cap a l’ASA. Packet-tracer modela el camí; un flux en directe demostra que el model encaixava.

Revertiu el canvi que ho va fer funcionar

Si la solució va ser desactivar el salt de l’ACL o ampliar un filtre, conserveu la configuració anterior. Una captura show run dels objectes afectats, desada abans del canvi, és suficient per restaurar-los; la configuració de l’ASA és orientada a línies, així que revertir vol dir tornar a introduir les línies antigues, no restaurar un fitxer.

Registreu el parell d’interfícies, el filtre efectiu, el nom de l’ACL de packet-tracer i les ordres exactes que heu canviat. Aquest registre converteix la propera revisió en una comprovació de cinc minuts en lloc d’un altre debat sobre nivells de confiança.