Které pravidlo ASA vidí provoz poté, co jej VPN dešifruje

První předpoklad, kterého je třeba se zbavit, je, že krypto ACL je přístupová politika. Není. Na Cisco ASA tento seznam odpovídá na jednu úzkou otázku: které pakety si zaslouží ochranu, a tato odpověď nic neříká o tom, zda dešifrovaný paket smí dosáhnout serveru za firewallem. O přístupu se rozhoduje později, politikou rozhraní, filtrem skupinové politiky, nebo obojím, podle toho, jak je tunel postaven.

Krypto ACL odpovídá na jinou otázku

Krypto ACL je seznam shod. Tunelu říká, co má šifrovat mezi dvěma protějšky; paket, který s ním nesouhlasí, prostě není chráněn. Jeho rozšíření mění rozsah ochrany a nic jiného.

Proto přidání podsítě tam může zvednout tunel, zatímco samotná aplikace stále selhává. Tunel je nahoře, protože teď existuje shoda. Aplikace stále selhává, protože nic v tom seznamu nic nepovoluje. Dvě různé otázky, dva různé seznamy.

Co vlastně nastavení obejití přeskakuje

sysopt connection permit-vpn umožňuje chráněnému provozu přeskočit kontrolu ACL rozhraní, která by jinak platila na vstupní straně. Je to usnadnění pro nasazení VPN a je globální. Nedotýká se skupinové politiky a nedotýká se autorizačního filtru pro jednotlivého uživatele.

Čtěte skutečnou hodnotu, ne předpoklad: show running-config all sysopt vypíše nastavení i tehdy, když nikdy nebylo výslovně nakonfigurováno, a právě tam začíná mnoho zmatků.

Protože je nastavení globální, testovat ho jako rychlý pokus na jedné nefunkční podsíti je špatná výměna. Každý další tunel na tom firewallu sdílí výsledek. Nechte si ho na záměrnou změnu s plánem návratu.

Čtěte filtr ve směru dešifrování

LAN-to-LAN vpn-filter se píše z pohledu tunelu, ne rozhraní. Vzdálená síť jde na pozici zdroje a místní síť na pozici cíle, protože tak paket po dešifrování vypadá. Stejný filtr se pak znovu vyhodnocuje v opačném směru před šifrováním, s obrácenými rolemi adres.

Podmínky pro porty si zaslouží větší péči než zkopírovaný ACL rozhraní právě z tohoto důvodu. Pravidlo povolující jeden cílový port může mít v opačném směru nechtěný účinek, kde nové spojení používá ten port jako zdrojový. Než seznam postavíte, zapište, která strana smí iniciovat, skutečnou službu a protějšek, který musí zůstat zavřený.

Ověřte, který filtr je skutečně připojen: show running-config group-policy a show vpn-sessiondb detail l2l společně řeknou, co relace zdědila. Úprava ACL, na kterou žádná politika neodkazuje, nic nemění.

Nepoužívejte jeden objekt ACL na dvě práce

Rozhraní access-group a vpn-filter vypadají jako stejný typ objektu a vyhodnocují se v různých bodech s různou orientací adres. Přiřazení jednoho seznamu oběma zve na změnu, která opraví tunel a tiše povolí fyzické rozhraní.

Držte je oddělené, pojmenujte je podle jejich práce a nechte rozdíl ve směru být viditelný v názvech.

Ověřujte novými spojeními, v obou směrech

Po plánované změně otevřete jedno nové spojení, které má být povoleno, a jedno nové spojení, které má být odmítnuto, a pak si k výsledku poznamenejte adresy, směr a shodu s politikou. Navázaná relace nic nedokazuje o filtrování nových spojení, protože už byla propuštěna podle starých pravidel.

Počítejte i s inspekcí. Dokumentace výrobce uvádí, že filtr VPN kontroluje počáteční spojení, a ne každé sekundární spojení, které otevře inspekční engine, takže řídicí kanál a s ním související mediální tok mohou dostat odlišné zacházení. Pokud aplikace rozumí protokolu, testujte skutečný tok, ne jednu sondu na portu.

Tunel, který je po širokém obejití použitelný, říká, že omezení bylo odstraněno, ne že bylo splněno. Výsledek, který stojí za to si nechat, je pojmenovaný bod prosazení, na který můžete ukázat při příští revizi.