Pa reol ASA sy'n gweld y traffig ar ôl i'r VPN ei ddadgryptio

Y rhagdybiaeth gyntaf i'w gollwng yw bod yr ACL crypto yn bolisi mynediad. Nac ydyw. Ar Cisco ASA mae'r rhestr honno'n ateb un cwestiwn cul: pa becynnau sy'n haeddu amddiffyniad, ac nid yw'r ateb yn dweud dim am a gaiff y pecyn dadgryptiedig gyrraedd y gweinydd y tu ôl i'r mur tân. Penderfynir ar fynediad yn ddiweddarach, drwy bolisi rhyngwyneb, drwy hidlydd polisi grŵp, neu'r ddau, yn dibynnu sut y cafodd y tiwnel ei adeiladu.

Mae'r ACL crypto yn ateb cwestiwn gwahanol

Rhestr gydweddu yw ACL crypto. Mae'n dweud wrth y tiwnel beth i'w amgryptio rhwng dau gyfoed; nid yw pecyn nad yw'n cydweddu ag ef yn cael ei amddiffyn o gwbl. Mae ei ehangu'n newid cwmpas yr amddiffyniad ac yn ddim arall.

Dyna pam y gall ychwanegu isrwydwaith yno godi tiwnel tra bo'r cymhwysiad ei hun yn parhau i fethu. Mae'r tiwnel i fyny oherwydd bod cydweddiad bellach yn bodoli. Mae'r cymhwysiad yn dal i fethu oherwydd nad oes dim yn y rhestr honno'n caniatáu unrhyw beth. Dau gwestiwn gwahanol, dau restr wahanol.

Beth mae'r gosodiad osgoi yn ei hepgor mewn gwirionedd

sysopt connection permit-vpn sy'n gadael i draffig gwarchodedig hepgor y gwiriad ACL rhyngwyneb a fyddai fel arall yn berthnasol ar yr ochr i mewn. Mae'n gyfleustra ar gyfer defnyddiadau VPN, ac mae'n fyd-eang. Nid yw'n cyffwrdd â'r polisi grŵp, ac nid yw'n cyffwrdd â hidlydd awdurdodi fesul defnyddiwr.

Darllenwch y gwerth byw yn hytrach na'r rhagdybiaeth: mae show running-config all sysopt yn argraffu'r gosodiad hyd yn oed pan na chafodd erioed ei ffurfweddu'n benodol, a dyna lle mae llawer o ddryswch yn dechrau.

Gan fod y gosodiad yn fyd-eang, mae ei brofi fel arbrawf cyflym ar un isrwydwaith sy'n methu yn fargen wael. Mae pob tiwnel arall ar y mur tân hwnnw'n rhannu'r canlyniad. Cadwch ef ar gyfer newid bwriadol gyda chynllun dadwneud.

Darllenwch yr hidlydd yn y cyfeiriad dadgryptio

Ysgrifennir vpn-filter LAN-to-LAN o safbwynt y tiwnel, nid y rhyngwyneb. Mae'r rhwydwaith anghysbell yn mynd yn safle'r ffynhonnell a'r rhwydwaith lleol yn safle'r gyrchfan, oherwydd dyna sut y mae'r pecyn yn edrych ar ôl dadgryptio. Yna mae'r un hidlydd yn cael ei werthuso eto yn y cyfeiriad arall cyn amgryptio, gyda rolau'r cyfeiriadau wedi'u gwrthdroi.

Mae amodau porthladd yn haeddu mwy o ofal na ACL rhyngwyneb wedi'i gopïo am yr union reswm hwnnw. Gall rheol sy'n caniatáu un porthladd cyrchfan gael effaith anfwriadol yn y cyfeiriad gwrthdro, lle mae cysylltiad newydd yn defnyddio'r porthladd hwnnw fel ei ffynhonnell. Nodwch pa ochr a gaiff gychwyn, y gwasanaeth gwirioneddol, a'r cyfatebydd sy'n rhaid iddo aros ar gau cyn i chi adeiladu'r rhestr.

Cadarnhewch pa hidlydd sy'n atodedig mewn gwirionedd: mae show running-config group-policy a show vpn-sessiondb detail l2l gyda'i gilydd yn dweud wrthych beth a etifeddodd y sesiwn. Nid yw golygu ACL nad yw unrhyw bolisi'n cyfeirio ato yn newid dim.

Peidiwch ag ailddefnyddio un gwrthrych ACL ar gyfer dau waith

Mae access-group rhyngwyneb a vpn-filter yn edrych fel yr un math o wrthrych ac yn cael eu gwerthuso ar wahanol bwyntiau ag agweddau cyfeiriad gwahanol. Mae neilltuo un rhestr i'r ddau yn gwahodd newid sy'n trwsio'r tiwnel ac yn llacio'r rhyngwyneb corfforol yn dawel.

Cadwch hwy ar wahân, enwch hwy ar gyfer eu gwaith, a gadewch i'r gwahaniaeth mewn cyfeiriad fod yn weladwy yn yr enwau.

Gwiriwch â chysylltiadau newydd, yn y ddau gyfeiriad

Ar ôl newid wedi'i gynllunio, agorwch un cysylltiad newydd y dylid ei ganiatáu ac un cysylltiad newydd y dylid ei wrthod, yna cadwch y cyfeiriadau, y cyfeiriad a'r gydweddiad polisi gyda'r canlyniad. Nid yw sesiwn sefydledig yn profi dim am hidlo cysylltiadau newydd, oherwydd fe'i derbyniwyd eisoes o dan yr hen reolau.

Cyfrrifwch am archwiliad hefyd. Mae dogfennaeth y gwerthwr yn nodi bod hidlydd VPN yn gwirio'r cysylltiad cychwynnol yn hytrach na phob cysylltiad eilaidd y mae peiriant archwilio yn ei agor, felly gall sianel reoli a'i ffrwd gyfryngau gysylltiedig gael triniaeth wahanol. Os yw'r cymhwysiad yn ymwybodol o brotocol, profwch y ffrwd wirioneddol yn hytrach na phrawf porthladd sengl.

Mae tiwnel sy'n dod yn ddefnyddiadwy ar ôl osgoi eang yn dweud bod y cyfyngiad wedi'i ddileu, nid ei fod wedi'i fodloni. Y canlyniad sy'n werth ei gadw yw pwynt gorfodi wedi'i enwi y gallwch bwyntio ato yn ystod yr adolygiad nesaf.