Mae VPN rhwng safleoedd yn gweithio, ond nid yw logiau ASA yn cyrraedd: gwiriwch y cyfeiriad ffynhonnell

Mae gwesteiwyr mewnol yn cyrraedd y casglwr pell ac mae eu llinellau syslog yn ymddangos. Nid yw negeseuon yr ASA ei hun am yr un sesiynau hynny byth yn cyrraedd. Nid oes dim o’i le ar y casglwr nac ar y twnnel, a dyna’r rhan sy’n ddryslyd. Mae’r wal dân yn anfon ei logiau o ffynhonnell na chafodd y twnnel ei adeiladu i’w diogelu.

Beth sy’n cyrraedd a beth nad yw

Dechreuwch drwy wahanu dau lif sy’n edrych yn unfath ar ddangosfwrdd. Mae traffig a anfonir ymlaen yn mynd trwy’r ASA: mae gwesteiwr LAN yn anfon at y casglwr, mae’r ASA yn ei gyfateb â pholisi’r twnnel, yn ei amgryptio, ac mae’r casglwr yn gweld cyfeiriad y gwesteiwr. Mae traffig a gynhyrchir yn dechrau ar yr ASA ei hun: mae’r blwch yn adeiladu pecyn syslog, yn dewis rhyngwyneb allan a ffynhonnell, a dim ond wedyn yn gofyn a oes unrhyw bolisi twnnel yn cyfateb. Mae’r llif cyntaf yn profi bod y twnnel yn gweithio, ac nid yw’n dweud dim am yr ail.

Nid yw digwyddiad byffer ar y ddyfais yn dystiolaeth o ddosbarthu pell chwaith, gan y gall y log fodoli’n lleol heb erioed gael ei drosglwyddo. Gwiriwch rifynnau derbyn y casglwr cyn beio’r twnnel, oherwydd bod rhifydd gwag yn ganfyddiad gwahanol i un sy’n tyfu.

Nid yw neges a gynhyrchir yn draffig a anfonir ymlaen

Pan fo’r ASA yn creu pecyn, nid yw’n gweithredu fel dirprwy i westeiwr LAN. Daw’r ffynhonnell o’r rhyngwyneb allan neu o osodiad ffynhonnell penodol, ac mae’r pecyn yn mynd i’r un chwiliad llwybr a’r un gwiriadau polisi ag unrhyw beth arall y mae’r blwch yn ei anfon. Mae hynny’n golygu bod yn rhaid i ddetholydd y VPN gynnwys y cyfeiriad y mae’r ASA yn ei ddefnyddio mewn gwirionedd, sef yn aml ei ryngwyneb allanol yn hytrach nag is-rwydwaith mewnol.

Os yw’r polisi’n diogelu 10.20.0.0/24 ac mae’r ASA yn defnyddio ei gyfeiriad allanol fel ffynhonnell, mae naill ai’r pecyn log yn gadael mewn testun clir tuag at gasglwr na all gyrraedd, neu’n cael ei ollwng. Mae’r ddau ganlyniad yn edrych yn unfath o ochr y casglwr. Mae’r un rhesymeg yn berthnasol i draffig rheoli, a dyna pam mae management-access yn benderfyniad dylunio ar wahân.

Pa ffynhonnell y mae’r ASA yn ei rhoi ar y we

Canfyddwch y ffynhonnell yn empirig yn hytrach nag yn ôl tybiaeth. Mae dal ar y rhyngwyneb allan yn ystod neges brawf yn dangos y ffynhonnell a’r gyrchfan wirioneddol, ac mae’n costio llai o amser na darllen tair adran ffurfweddu. Cymharwch y cyfeiriad hwnnw â detholydd lleol y twnnel.

Mae rhai fersiynau’n gadael i chi binio’r ffynhonnell logio i ryngwyneb, a chyfeirlyfr gorchmynion eich fersiwn chi yw’r awdurdod ar a yw’r opsiwn hwnnw’n bodoli a beth y mae’n ei newid. Nid yw gorchymyn source-interface o blatfform Cisco gwahanol yn ddilys yn awtomatig ar ASA.

Os byddwch yn newid y ffynhonnell, gwnewch hynny’n fwriadol a nodwch ef, oherwydd mae ACLs y casglwr ac unrhyw gydberthynas a adeiladir ar syslog yn dibynnu arno.

Cydweddwch y detholydd â llif y log

Unwaith y bydd y ffynhonnell yn hysbys, gwiriwch dri pheth yn eu tro: yr ACL crypto neu’r detholydd sy’n seiliedig ar bolisi sy’n penderfynu pa draffig sy’n ddiddorol, y llwybr sy’n penderfynu i ble mae’r pecyn yn mynd, ac unrhyw reol NAT a allai ailysgrifennu’r ffynhonnell cyn amgryptio. Nid yw pecyn sy’n cyfateb i’r llwybr ond nid i’r detholydd yn cael ei dwnelu, a gall pecyn a ailysgrifennir gan NAT gyfateb i’r naill na’r llall.

Mae gan ochr y casglwr ofynion ei hun: ACL sy’n caniatáu ffynhonnell yr ASA, llwybr dychwelyd, a gwasanaeth gwrando ar y porth a ffurfweddwyd gennych. Mae cludiant yn bwysig yma hefyd, oherwydd mae logio TCP a TLS yn ymddwyn yn wahanol i UDP ar lwybr sydd wedi’i rwystro’n rhannol. Newidiwch un elfen ar y tro, neu ni fydd y daliad nesaf yn dweud wrthych pa newid a oedd yn bwysig.

Gwiriwch wrth y casglwr, yna nodwch y ffynhonnell

Cadarnhewch fod y neges yn cyrraedd, yna nodwch y cyfeiriad ffynhonnell a ddefnyddiodd yr ASA, y detholydd a’i cludodd a’r difrifoldeb y gwnaethoch brawf ag ef.

Mae’r cofnod hwnnw’n troi newid nesaf ACL y casglwr neu olygiad y detholydd yn wiriad dau funud yn lle ailddarganfod. Mae hefyd yn dogfennu pa un o’r dau lif a gafodd ei ddilysu erioed, sef y rhan y mae’r rhan fwyaf o runbooks yn ei hepgor. Os nad yw’r neges yn cyrraedd o hyd, gostyngwch drothwy’r difrifoldeb dros dro a phrofwch yn erbyn un gyrchfan.

Mae FAQ logio ASA Cisco yn dogfennu achos â ffynhonnell allanol sy’n gofyn am y diffiniad cyfatebol o draffig a ddiogelir, ac mae ei enghraifft â ffynhonnell fewnol yn cynnwys gwesteiwr logio yn fewnol a management-access yn fewnol. Triniwch y cyfuniad a ddogfennwyd a chyd-destun y meddalwedd gyda’i gilydd yn hytrach na thybio bod un llinell a gopïwyd yn addas i bob ffurfwedd.

Nid yw twnnel sy’n cario traffig LAN yn dwnnel sy’n cario llais y wal dân ei hun.