Pam mae ceisiadau TACACS+ yr ASA yn osgoi twnnel VPN eich cangen

Mae twnnel y gangen yn weithredol, mae defnyddwyr yn dilysu yn erbyn y gweinydd TACACS+ o bell, ac mae mewngofnod y wal dân ei hun yn dal i ddod i ben. Nid yw'r rheswm yn nam yn y twnnel: mae twnnel LAN-to-LAN yn cario traffig sy'n cyfateb i'w ddetholwyr, ac mae traffig rheoli y mae'r ASA yn ei gynhyrchu amdano'i hun yn llif ar wahân a'i gyfeiriad ffynhonnell ei hun ganddo. Mae'r rhan fwyaf o dimau'n darganfod hyn yn ystod ffenestr newid, pan mai'r unig gyfrif gweinyddwr yw'r un sy'n methu. Triniwch y sesiwn AAA a grewyd gan yr ASA fel llif y mae'n rhaid i chi ei gynllunio, nid fel sgîl-effaith cysylltedd sy'n gweithio'n barod.

Yr ASA yw'r cleient, ac mae ei draffig ei hun angen ei lwybr ei hun

Pan fydd y wal dân yn cysylltu â gweinydd TACACS+, mae'r wal dân yn gleient fel unrhyw un arall, ac eithrio na wnaeth neb ffurfweddu llwybr ar ei gyfer yn fwriadol. Mae ei phecynnau'n tarddu o gyfeiriad rhyngwyneb ar y ddyfais, cânt eu cynhyrchu'n lleol yn hytrach na'u hanfon ymlaen, ac mae'n rhaid eu llwybro, eu cyfieithu a'u hamddiffyn gan bolisi yn union fel traffig defnyddwyr. Nid yw twnnel safle-i-safle sy'n amddiffyn isrwydwaith defnyddwyr yn amddiffyn y ffynhonnell reoli honno'n awtomatig, oherwydd mae dethol traffig yn seiliedig ar gyfeiriadau ac nid ar fwriad.

Ysgrifennwch y cyfeiriad rydych chi'n disgwyl i'r gweinydd ei weld. Os na allwch ei nodi mewn un llinell, nid oes gennych gynllun eto.

Nid addurn yw'r rhyngwyneb yn llinell aaa-server

Ar yr ASA mae cofnod gwesteiwr aaa-server yn cymryd cysylltiad rhyngwyneb mewn cromfachau, ac mae cyfeirlyfr gorchmynion gwesteiwr AAA Cisco yn ei ddisgrifio fel y rhyngwyneb lle mae'r gweinydd dilysu yn byw. Y cysylltiad hwnnw sy'n clymu'r cais i ryngwyneb ac i'r polisi y mae'r rhyngwyneb hwnnw'n ei gymhwyso. Mae ei ddewis yn ôl pa bynnag ryngwyneb sy'n wynebu'r rhyngrwyd, neu adael beth bynnag a oedd yno o'r mudo diwethaf, yn cynhyrchu cyfeiriad ffynhonnell na chafodd y gweinydd pell na'r twnnel eu hadeiladu ar ei gyfer.

inside yw'r ateb cywir yn unig pan fydd y rhyngwyneb a enwir yn dal y cyfeiriad y mae eich cynllun yn bwriadu ei ddefnyddio fel ffynhonnell. Ar ddyfais cangen mae'n aml felly; ar ddyfais â sawl segment preifat efallai na fydd.

Mae newid y cysylltiad yn golygu ail-greu'r cofnod

Mae'r un cyfeirlyfr gorchmynion yn cofnodi cyfyngiad golygu sy'n dal pobl yn ystod trosglwyddiadau: mae newid y rhyngwyneb ar westeiwr presennol yn gofyn tynnu ac ail-greu cofnod y gwesteiwr. Efallai na fydd ffurfweddiad sy'n edrych fel pe bai wedi'i olygu wedi dod i rym, a bydd yr ymgais fewngofnodi nesaf yn dal i adael o'r hen gyfeiriad. Cynlluniwch hynny fel dileu ac ychwanegu gyda chopi o'r cofnod gwreiddiol o'ch blaen, nid fel addasiad yn ei le.

Os yw sawl gweinydd wedi'i ddiffinio, newidiwch un a'i brofi cyn cyffwrdd â'r lleill, fel nad yw camgymeriad yn cloi pob llwybr gweinyddol ar unwaith.

Gwiriwch ddetholwyr, cyfieithu a'r llwybr dychwelyd gyda'i gilydd

Rhaid i dri pheth gytuno er mwyn i'r cais gyrraedd. Rhaid i ddetholwyr traffig y twnnel, neu amddiffyniad rhyngwyneb y twnnel os ydych yn defnyddio un, gynnwys ffynhonnell yr ASA ei hun a chyfeiriad y gweinydd; yn gyffredin ni fydd rhestr ddetholwyr a adeiladwyd ar gyfer isrwydweithiau defnyddwyr yn gwneud hynny. Rhaid i unrhyw reol NAT ar y llwybr gyfieithu'r ffynhonnell honno'n gyson, oherwydd mae'r gweinydd yn awdurdodi hunaniaeth dyfais rwydwaith sy'n cynnwys y cyfeiriad y mae'n ei weld. Ac mae'n rhaid i'r llwybr dychwelyd fodoli, sy'n golygu ar dwnnel sy'n seiliedig ar bolisi fod gan y pen pell ddetholwr cyfatebol yn y cyfeiriad arall.

Ar ochr y gweinydd, cadarnhewch hunaniaeth y ddyfais, y gyfrinach a rennir a'r polisi gweinyddol ar wahân. Mae TACACS+ yn cadw dilysu, awdurdodi a chyfrifo fel gweithrediadau ar wahân, felly mae gwrthodiad sy'n dod ar ôl cyfnewid cyflawn yn ateb polisi, nid yn fethiant cludo. Mae ei ddarllen fel problem rwydwaith yn eich anfon i chwilio yn y lle anghywir.

Cadwch y gyfrinach allan o gipiadau, tocynnau a thrawsgrifiadau wrth ddadbytio, a chofiwch mai'r cyfeiriad ffynhonnell y mae'r gweinydd yn ei gofnodi yw'r un y mae'n rhaid i'ch cynllun ei esbonio.

Gwnewch y newid heb eich cloi eich hun allan

Defnyddiwch gonsol neu lwybr rheoli annibynnol wrth newid dilysu gweinyddol o bell, a chadwch gynllun wrth gefn lleol a gymeradwywyd nes bod y llwybr newydd wedi cario mewngofnod go iawn. Yna dilyswch yn gul: un gweinydd, un ddyfais, un dilysiad llwyddiannus gyda'r cyfeiriad ffynhonnell yn cael ei arsylwi ar y ddau ben.

Cofnodwch y llif ar ei dudalen ei hun: rhyngwyneb a chyfeiriad tarddiad, gweinydd pell, llwybr gwarchodedig, a'r person sy'n berchen ar y polisi awdurdodi. Yna gellir asesu newid rhyngwyneb neu dwnnel yn ddiweddarach heb ddyfalu pa un o'r ddau lif y mae'n effeithio arno.