VPN mezi lokalitami funguje, ale záznamy ASA nepřicházejí: zkontrolujte zdrojovou adresu

Vnitřní hostitelé dosáhnou vzdáleného sběrače a jejich řádky syslog se objeví. Vlastní zprávy ASA o stejných relacích nikdy nedorazí. Se sběračem ani s tunelem není nic špatně, a právě to mate. Firewall posílá své záznamy ze zdroje, který tunel nikdy nebyl stavěn chránit.

Co dorazí a co ne

Začněte oddělením dvou toků, které na panelu vypadají stejně. Předávaný provoz prochází přes ASA: hostitel LAN posílá sběrači, ASA to porovná s politikou tunelu, zašifruje a sběrač vidí adresu hostitele. Generovaný provoz začíná na samotném ASA: zařízení sestaví paket syslog, zvolí výstupní rozhraní a zdroj a teprve potom se ptá, zda odpovídá nějaká politika tunelu. První tok dokazuje, že tunel funguje, a o druhém neříká nic.

Uložená událost v zařízení také není dokladem vzdáleného doručení, protože záznam může existovat lokálně a nikdy nemusel být odeslán. Zkontrolujte přijímací počítadla sběrače, než obviníte tunel, protože prázdné počítadlo je jiné zjištění než počítadlo, které roste.

Generovaná zpráva není předávaný provoz

Když ASA vytváří paket, nefunguje jako proxy hostitele LAN. Zdroj pochází z výstupního rozhraní nebo z explicitního nastavení zdroje a paket vstupuje do stejného hledání trasy a kontrol politik jako cokoli jiného, co zařízení odešle. To znamená, že selektor VPN musí obsahovat adresu, kterou ASA skutečně používá, a to je často jeho vnější rozhraní, nikoli vnitřní podsíť.

Pokud politika chrání 10.20.0.0/24 a ASA jako zdroj používá svou vnější adresu, paket záznamu buď odchází v čistém textu ke sběrači, na který nedosáhne, nebo je zahozen. Oba výsledky vypadají ze strany sběrače stejně. Stejná úvaha platí pro řídicí provoz, a proto je management-access samostatné designové rozhodnutí.

Jaký zdroj ASA staví na síť

Zjistěte zdroj empiricky, ne domněnkou. Zachycení na výstupním rozhraní během testovací zprávy ukáže skutečný zdroj a cíl a stojí méně času než čtení tří částí konfigurace. Porovnejte tuto adresu s lokálním selektorem tunelu.

Některá vydání umožňují připnout zdroj záznamů k rozhraní a referenční příručka příkazů pro vaši verzi je autoritou v tom, zda tato volba existuje a co mění. Příkaz source-interface z jiné platformy Cisco není na ASA automaticky platný.

Pokud zdroj přece jen změníte, udělejte to vědomě a poznamenejte si to, protože na něm závisí ACL sběrače i jakákoli korelace postavená na syslogu.

Slaďte selektor s tokem záznamů

Když je zdroj znám, zkontrolujte tři věci v pořadí: krypto ACL nebo selektor založený na politice, který rozhoduje, který provoz je zajímavý, trasu, která rozhoduje, kam paket jde, a jakékoli pravidlo NAT, které může přepsat zdroj před šifrováním. Paket, který odpovídá trase, ale ne selektoru, tunelem neprojde, a paket přepsaný NAT nemusí odpovídat ani jednomu.

Strana sběrače má vlastní požadavky: ACL povolující zdroj ASA, zpětnou trasu a službu naslouchající na portu, který jste nastavili. Na přenosu tu také záleží, protože protokolování přes TCP a TLS se na částečně blokované cestě chová jinak než UDP. Měňte jeden prvek po druhém, jinak vám další zachycení neřekne, která změna byla důležitá.

Ověřte u sběrače a potom zdroj zapište

Potvrďte, že zpráva dorazí, a potom zapište zdrojovou adresu, kterou ASA použil, selektor, který ji přenesl, a závažnost, se kterou jste testovali.

Tento záznam promění příští změnu ACL sběrače nebo úpravu selektoru ve dvouminutovou kontrolu místo opětovného objevování. Také dokumentuje, který ze dvou toků byl kdy ověřen, a právě tuto část většina runbooků vynechává. Pokud zpráva stále nedorazí, dočasně snižte prahovou hodnotu závažnosti a testujte proti jedinému cíli.

Cisco FAQ k protokolování ASA dokumentuje případ s vnějším zdrojem, který potřebuje odpovídající definici chráněného provozu, a jeho příklad s vnitřním zdrojem zahrnuje jak hostitele záznamů uvnitř, tak management-access uvnitř. Berte zdokumentovanou kombinaci a kontext softwaru společně, místo abyste předpokládali, že jedna zkopírovaná řádka sedí na každou konfiguraci.

Tunel, který přenáší provoz LAN, není tunel, který přenáší vlastní hlas firewallu.