Získá VPN podsíť úroveň zabezpečení rozhraní ASA?

Někdo se ptá, zda má VPN podsíť pobočky na ASA „úroveň zabezpečení 0 nebo 100“, a otázka už obsahuje chybu. Úroveň zabezpečení je vlastnost místního rozhraní a v konfiguraci rozhraní se přiřazuje od 0 do 100. Vzdálená podsíť, která přichází tunelem, žádnou nezíská, ať je crypto map napsaná jakkoli. Proto otázka nemá číselnou odpověď.

Praktická navazující otázka je lepší: která politika pustí pobočku k serveru a která ji drží dál od samotného firewallu. To jsou dvě odpovědi a postup níže je odděluje.

Úrovně zabezpečení patří rozhraním

Spusťte show running-config interface a uvidíte security-level pod každým fyzickým rozhraním nebo rozhraním VLAN, ne pod skupinou tunelu nebo crypto map. Výchozí povolení z vyšší na nižší se vyhodnocuje mezi těmito rozhraními, a proto číslo mění chování inspekce a implicitní ACL na cestě, ke které patří.

U dešifrovaného VPN toku je vstupem stále vnější rozhraní, kde tunel končí, a výstupem vnitřní rozhraní k serveru. Zapište obojí, než se něčeho dotknete. Tento jediný krok odstraní většinu zmatku, protože mění abstraktní otázku důvěry na dvojici rozhraní.

Obcházení ACL má pojmenovanou hranici

sysopt connection permit-vpn je nastavení, které si lidé napůl pamatují, když říkají, že VPN provoz ignoruje ACL. Opravdu přeskakuje ACL rozhraní pro provoz, který se kvalifikuje jako VPN provoz, a průvodce parametry 9.x ho omezuje podle rozhraní a směru, místo aby vyhlásil globální výjimku.

Ověřte, co je nakonfigurováno, než budete uvažovat z paměti:

• show running-config all sysopt pro zobrazení skutečné hodnoty, ne jen řádků odlišných od výchozích.
• show running-config access-group pro zobrazení, která ACL je použita na které rozhraní a směr.
• show vpn-sessiondb detail l2l pro potvrzení, kterou skupinu tunelu a filtr relace skutečně používá.

Vypnutí tohoto nastavení za účelem zpřísnění VPN přístupu je změna s velkým dopadem. Znovu podřizuje každý kvalifikovaný VPN tok vnější ACL, což obvykle rozbije fungující tunely způsoby, které s pobočkou, na kterou jste se ptali, nesouvisejí.

Přečtěte filtr připojený k relaci

Skutečná kontrola pro každý tunel je VPN filtr: ACL odkazovaná skupinovou politikou nebo uživatelským jménem, aplikovaná po dešifrování a před šifrováním. Filtr na úrovni uživatele přebíjí hodnotu na úrovni skupiny, takže dva lidé ve stejné skupině tunelu mohou mít různý efektivní přístup.

Potvrďte prioritu, místo abyste ji předpokládali. show running-config group-policy <name> zobrazuje hodnotu skupiny a show running-config username <name> zobrazuje, zda existuje hodnota pro uživatele. Pokud existují obě, vyhrává hodnota uživatele. Potom porovnejte položky této ACL s tokem, který vás zajímá, ve směru, ve kterém filtr vyhodnocuje.

Filtr, který povoluje aplikační server, neříká nic o správě. To jsou oddělená pravidla na oddělené cestě.

Ověřte jedno povolení a jedno zamítnutí

Packet-tracer je nejrychlejší způsob, jak vidět rozhodnutí, aniž byste čekali, až ho uživatel nahlásí. Dejte mu tok z dešifrované strany a nechte ho pojmenovat fáze ACL, NAT a inspekce, kterými prochází.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Přečtěte řádek výsledku: pojmenovává ACL, která paket povolila nebo zahodila.
3. Zopakujte to s administrativním cílem na vnitřním rozhraní a potvrďte zamítnutí.
4. Zopakujte to ještě jednou po každé změně, aby byly zaznamenány oba stavy, před i po.

Pak to ověřte skutečným provozem: jeden úspěšný požadavek aplikace z pobočky a jeden neúspěšný pokus o SSH na ASA. Packet-tracer modeluje cestu; živý tok dokazuje, že model odpovídal.

Vraťte změnu, která to rozchodila

Pokud opravou bylo vypnutí obcházení ACL nebo rozšíření filtru, ponechte předchozí konfiguraci. Snímek show run dotčených objektů, uložený před změnou, stačí k jejich obnovení; konfigurace ASA je řádkově orientovaná, takže vrácení znamená znovu zadat staré řádky, ne obnovit soubor.

Zaznamenejte dvojici rozhraní, efektivní filtr, název ACL z packet-traceru a přesné příkazy, které jste změnili. Tento záznam promění příští kontrolu v pětiminutovou záležitost místo další debaty o úrovních důvěry.