Proč TACACS+ požadavky ASA obcházejí VPN tunel pobočky

Tunel pobočky je v provozu, uživatelé se autentizují vůči vzdálenému serveru TACACS+, a vlastní přihlášení firewallu přesto vyprší. Důvodem není chyba v tunelu: tunel LAN-to-LAN přenáší provoz, který odpovídá jeho selektorům, a řídicí provoz, který ASA generuje o sobě, je samostatný tok s vlastní zdrojovou adresou. Většina týmů to zjistí během změnového okna, kdy jediný administrátorský účet je právě ten, který selhává. Berte AAA relaci, kterou ASA iniciuje, jako tok, který musíte navrhnout, ne jako vedlejší efekt konektivity, která už funguje.

ASA je klient a jeho vlastní provoz potřebuje vlastní cestu

Když firewall kontaktuje server TACACS+, je klientem jako každý jiný, jen mu nikdo záměrně nenakonfiguroval trasu. Jeho pakety vznikají na adrese rozhraní zařízení, generují se lokálně, nikoli předávají, a musí být směrovány, překládány a chráněny politikou stejně jako uživatelský provoz. Tunel mezi lokalitami, který chrání uživatelskou podsíť, automaticky nechrání tento řídicí zdroj, protože výběr provozu je založen na adresách, ne na záměru.

Zapište adresu, kterou podle vás server uvidí. Pokud ji nedokážete vyjádřit jednou větou, ještě nemáte návrh.

Rozhraní v řádku aaa-server není dekorace

Na ASA přebírá položka hostitele aaa-server přiřazení rozhraní v závorce a příručka příkazů hostitele AAA od Cisco ji popisuje jako rozhraní, na kterém sídlí autentizační server. Právě toto přiřazení váže požadavek k rozhraní a k politice, kterou toto rozhraní uplatňuje. Volba podle toho, které rozhraní míří do internetu, nebo ponechání toho, co zůstalo z poslední migrace, vytvoří zdrojovou adresu, pro kterou vzdálený server ani tunel nikdy nebyly stavěny.

inside je správná odpověď jen tehdy, když uvedené rozhraní drží adresu, kterou váš návrh zamýšlí použít jako zdroj. Na zařízení v pobočce to často platí; na zařízení s několika privátními segmenty možná ne.

Změna přiřazení znamená znovuvytvoření položky

Stejná příručka dokumentuje omezení úprav, které lidi nachytá při přechodech: změna rozhraní u existujícího hostitele vyžaduje odebrání a znovuvytvoření položky hostitele. Konfigurace, která vypadá upraveně, nemusela vstoupit v platnost a další pokus o přihlášení stejně vyjde ze staré adresy. Naplánujte to jako smazání a přidání s kopií původní položky před očima, ne jako úpravu na místě.

Je-li definováno několik serverů, změňte jeden a otestujte ho, než sáhnete na ostatní, aby chyba nezablokovala všechny administrativní cesty najednou.

Zkontrolujte selektory, překlad a zpětnou cestu společně

Aby požadavek dorazil, musí se shodnout tři věci. Selektory provozu tunelu, nebo ochrana tunelového rozhraní, pokud ji používáte, musí obsahovat vlastní zdroj ASA a adresu serveru; seznam selektorů postavený pro uživatelské podsítě to obvykle neudělá. Každé pravidlo NAT na cestě musí tento zdroj překládat konzistentně, protože server autorizuje identitu síťového zařízení, která zahrnuje adresu, kterou vidí. A zpětná cesta musí existovat, což u tunelu založeného na politikách znamená, že vzdálený konec má odpovídající selektor v opačném směru.

Na straně serveru potvrďte odděleně identitu zařízení, sdílený secret a administrativní politiku. TACACS+ drží autentizaci, autorizaci a účtování jako oddělené operace, takže odmítnutí, které přijde po dokončené výměně, je odpověď politiky, ne selhání transportu. Číst ho jako síťový problém vás pošle hledat na špatné místo.

Během ladění držte secret mimo zachycené pakety, tickety a přepisy a pamatujte, že zdrojová adresa, kterou server loguje, je ta, kterou musí váš návrh vysvětlit.

Proveďte změnu, aniž byste se uzamkli

Použijte konzoli nebo nezávislou cestu správy, když měníte vzdálenou administrativní autentizaci, a držte schválený místní záložní postup, dokud nová cesta neprovede skutečné přihlášení. Pak validujte úzce: jeden server, jedno zařízení, jedno úspěšné ověření se zdrojovou adresou pozorovanou na obou koncích.

Zaznamenejte tok na vlastní stránce: výchozí rozhraní a adresa, vzdálený server, chráněná cesta a osoba, která vlastní autorizační politiku. Pozdější změnu rozhraní nebo tunelu pak lze posoudit bez hádání, kterého ze dvou toků se týká.