A yw is-rwydwaith VPN yn cael lefel diogelwch rhyngwyneb ASA?

Mae rhywun yn gofyn a yw is-rwydwaith VPN y gangen yn „lefel diogelwch 0 neu 100“ ar yr ASA, ac mae’r cwestiwn eisoes yn cynnwys y camgymeriad. Mae lefel diogelwch yn briodwedd rhyngwyneb lleol, a chaiff ei neilltuo o 0 i 100 yng nghyfluniad y rhyngwyneb. Nid yw is-rwydwaith o bell sy’n cyrraedd drwy dwnnel yn ennill un, waeth sut mae’r crypto map wedi’i ysgrifennu. Dyna pam nad oes ateb rhifyddol i’r cwestiwn.

Mae’r cwestiwn ymarferol nesaf yn well: pa bolisi sy’n gadael y gangen i’r gweinydd, a pha un sy’n ei chadw draw oddi wrth y mur tân ei hun. Dau ateb yw’r rheini, ac mae’r weithdrefn isod yn eu gwahanu.

Mae lefelau diogelwch yn perthyn i ryngwynebau

Rhedwch show running-config interface a byddwch yn gweld security-level o dan bob rhyngwyneb corfforol neu ryngwyneb VLAN, nid o dan y grŵp twnnel na’r crypto map. Mae’r caniatâd diofyn o uwch i is yn cael ei werthuso rhwng y rhyngwynebau hynny, a dyna pam mae’r rhif yn newid ymddygiad archwilio a’r ACL ymhlyg ar y llwybr y mae’n perthyn iddo.

Ar gyfer llif VPN dadgryptio, y fewnfa yw’r rhyngwyneb outside lle mae’r twnnel yn gorffen o hyd, a’r allfa yw’r rhyngwyneb inside tuag at y gweinydd. Nodwch y ddau cyn i chi gyffwrdd ag unrhyw beth. Mae’r un cam hwnnw’n dileu’r rhan fwyaf o’r dryswch, oherwydd mae’n troi cwestiwn ymddiriedaeth haniaethol yn bâr o ryngwynebau.

Mae gan osgoi’r ACL ffin â enw

sysopt connection permit-vpn yw’r gosodiad y mae pobl yn ei gofio’n hanner pan ddywedant fod traffig VPN yn anwybyddu ACLau. Mae wir yn hepgor ACL y rhyngwyneb ar gyfer traffig sy’n gymwys fel traffig VPN, ac mae canllaw paramedrau 9.x yn ei gyfyngu yn ôl rhyngwyneb a chyfeiriad yn hytrach na datgan eithriad byd-eang.

Gwiriwch beth sydd wedi’i gyflunio cyn rhesymu o’r cof:

• show running-config all sysopt i weld y gwerth effeithiol, nid y llinellau nad ydynt yn ddiofyn yn unig.
• show running-config access-group i weld pa ACL sy’n cael ei chymhwyso i ba ryngwyneb a chyfeiriad.
• show vpn-sessiondb detail l2l i gadarnhau pa grŵp twnnel a hidlydd y mae’r sesiwn yn ei ddefnyddio mewn gwirionedd.

Mae diffodd y gosodiad hwnnw er mwyn tynhau mynediad VPN yn newid ag effaith eang. Mae’n ail-osod pob llif VPN cymwys o dan yr ACL allanol, sy’n torri twneli sy’n gweithio fel arfer mewn ffyrdd nad oes a wnelont â’r gangen y gofynnwyd amdani.

Darllenwch yr hidlydd sydd ynghlwm wrth y sesiwn

Y gwir reolaeth fesul twnnel yw’r hidlydd VPN: ACL y cyfeirir ati gan bolisi grŵp neu gan enw defnyddiwr, a gymhwysir ar ôl dadgryptio a chyn amgryptio. Mae hidlydd ar lefel defnyddiwr yn diystyru’r gwerth ar lefel grŵp, felly gall dau berson yn yr un grŵp twnnel gael mynediad effeithiol gwahanol.

Cadarnhewch y blaenoriaeth yn hytrach na’i chymryd yn ganiataol. show running-config group-policy <name> sy’n dangos gwerth y grŵp, a show running-config username <name> sy’n dangos a oes gwerth fesul defnyddiwr. Os oes y ddau, gwerth y defnyddiwr sy’n ennill. Yna cymharwch gofnodion yr ACL honno â’r llif yr ydych yn gofalu amdano, yn y cyfeiriad y mae’r hidlydd yn gwerthuso.

Nid yw hidlydd sy’n caniatáu’r gweinydd cymhwysiad yn dweud dim am reolaeth. Mae’r rheiny’n rheolau ar wahân ar lwybr ar wahân.

Gwiriwch un caniatâd ac un gwrthodiad

Packet-tracer yw’r ffordd gyflymaf i weld y penderfyniad heb aros i ddefnyddiwr ei adrodd. Rhowch lif yr ochr ddadgryptio iddo a gadewch iddo enwi’r camau ACL, NAT ac archwilio y mae’n mynd drwyddynt.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Darllenwch linell y canlyniad: mae’n enwi’r ACL a ganiatôdd neu a ddiddymodd y pecyn.
3. Ailadroddwch gyda’r cyrchfan weinyddol ar y rhyngwyneb inside a chadarnhau gwrthodiad.
4. Ailadroddwch unwaith eto ar ôl unrhyw newid, fel bod y cyflwr cyn a’r cyflwr ar ôl ill dau wedi’u cofnodi.

Yna gwiriwch â thraffig go iawn: un cais cymhwysiad llwyddiannus o’r gangen ac un ymgais SSH aflwyddiannus i’r ASA. Mae Packet-tracer yn modelu’r llwybr; mae llif byw yn profi bod y model wedi cyfateb.

Dad-wnewch y newid a’i gwnaeth yn gweithio

Os mai’r atgyweiriad oedd diffodd y gosodiad osgoi ACL neu ymestyn hidlydd, cadwch y cyfluniad blaenorol. Mae digon o gipiad show run o’r gwrthrychau yr effeithiwyd arnynt, a gedwir cyn y newid, i’w hadfer; mae cyfluniad ASA yn llinellol, felly mae dad-wneud yn golygu ail-nodi’r hen linellau, nid adfer ffeil.

Cofnodwch y pâr o ryngwynebau, yr hidlydd effeithiol, enw’r ACL o Packet-tracer a’r union orchmynion a newidiasoch. Mae’r cofnod hwnnw’n troi’r adolygiad nesaf yn wiriad pum munud yn lle dadl arall am lefelau ymddiriedaeth.