Arver et VPN-undernet ASA-interfassets sikkerhedsniveau?

Et dekrypteret VPN-undernet arver aldrig et interfassets sikkerhedsniveau. Kontroller sysopt connection permit-vpn, gruppefilteret og administrationsadgang hver for sig.

Nogen spørger, om filialens VPN-undernet har »sikkerhedsniveau 0 eller 100« på ASA’en, og spørgsmålet indeholder allerede fejlen. Sikkerhedsniveau er en egenskab ved et lokalt interface og tildeles 0 til 100 i interface-konfigurationen. Et fjernundernet, der ankommer gennem en tunnel, får ikke noget, uanset hvordan crypto map er skrevet. Derfor har spørgsmålet intet numerisk svar.

Det praktiske opfølgningsspørgsmål er bedre: hvilken politik lukker filialen ind til serveren, og hvilken holder den væk fra selve firewallen. Det er to svar, og proceduren nedenfor adskiller dem.

Sikkerhedsniveauer hører til interfaces

Kør show running-config interface, og du vil se security-level under hvert fysiske interface eller VLAN-interface, ikke under tunnelgruppen eller crypto map. Den standardmæssige tilladelse fra højere til lavere vurderes mellem disse interfaces, og derfor ændrer tallet inspektions- og implicit-ACL-adfærden på den sti, det hører til.

For et dekrypteret VPN-flow er indgangen stadig det ydre interface, hvor tunnelen terminerer, og udgangen er det indre interface mod serveren. Skriv begge ned, før du rører noget. Det ene skridt fjerner det meste af forvirringen, fordi det forvandler et abstrakt tillidsspørgsmål til et interface-par.

ACL-omgåelsen har en navngivet grænse

sysopt connection permit-vpn er den indstilling, folk husker halvt, når de siger, at VPN-trafik ignorerer ACL’er. Den springer ganske vist interface-ACL’en over for trafik, der kvalificerer som VPN-trafik, og parametervejledningen for 9.x afgrænser den per interface og retning i stedet for at erklære en global undtagelse.

Kontroller, hvad der er konfigureret, før du ræsonnerer ud fra hukommelsen:

  • show running-config all sysopt for at se den effektive værdi, ikke kun de ikke-standardlinjer.
  • show running-config access-group for at se, hvilken ACL der anvendes på hvilket interface og i hvilken retning.
  • show vpn-sessiondb detail l2l for at bekræfte, hvilken tunnelgruppe og filter sessionen faktisk bruger.

At slå den indstilling fra for at stramme VPN-adgangen er en ændring med stor rækkevidde. Den underlægger igen hvert kvalificeret VPN-flow den ydre ACL, hvilket normalt ødelægger fungerende tunneler på måder, der intet har med den filial at gøre, du blev spurgt om.

Læs filteret, der er knyttet til sessionen

Den egentlige styring per tunnel er VPN-filteret: en ACL, som en gruppepolitik eller et brugernavn henviser til, anvendt efter dekryptering og før kryptering. Et filter på brugerniveau tilsidesætter værdien på gruppeniveau, så to personer i samme tunnelgruppe kan have forskellig effektiv adgang.

Bekræft forrangen i stedet for at antage den. show running-config group-policy <name> viser gruppeværdien, og show running-config username <name> viser, om der findes en værdi per bruger. Hvis begge findes, vinder brugerværdien. Sammenlign derefter denne ACL’s poster med det flow, du interesserer dig for, i den retning filteret vurderer.

Et filter, der tillader applikationsserveren, siger intet om administration. Det er separate regler på en separat sti.

Verificer én tilladelse og én afvisning

Packet-tracer er den hurtigste måde at se beslutningen på uden at vente på, at en bruger rapporterer den. Giv den flowet fra den dekrypterede side, og lad den navngive de ACL-, NAT- og inspektionsstadier, det passerer.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Læs resultatlinjen: den navngiver den ACL, der tillod eller droppede pakken.
  3. Gentag med administrationsdestinationen på det indre interface, og bekræft en afvisning.
  4. Gentag en gang mere efter enhver ændring, så både tilstanden før og efter er registreret.

Verificer derefter med rigtig trafik: én vellykket applikationsanmodning fra filialen og ét mislykket SSH-forsøg mod ASA’en. Packet-tracer modellerer stien; et levende flow beviser, at modellen passede.

Rul den ændring tilbage, som fik det til at virke

Hvis løsningen var at deaktivere ACL-omgåelsen eller udvide et filter, så behold den forrige konfiguration. En show run-optagelse af de berørte objekter, gemt før ændringen, er nok til at gendanne dem; ASA-konfiguration er linjeorienteret, så tilbagerulning betyder at indtaste de gamle linjer igen, ikke at gendanne en fil.

Noter interface-parret, det effektive filter, ACL-navnet fra packet-tracer og de præcise kommandoer, du ændrede. Den registrering gør den næste gennemgang til et fem-minutters tjek i stedet for endnu en debat om tillidsniveauer.

Relaterede artikler