Welche ASA-Regel sieht den Verkehr, nachdem das VPN ihn entschlüsselt hat

Die erste Annahme, die man fallen lassen sollte, ist, dass die Crypto-ACL eine Zugriffsrichtlinie ist. Das ist sie nicht. Auf einer Cisco ASA beantwortet diese Liste eine eng umrissene Frage: Welche Pakete verdienen Schutz, und diese Antwort sagt nichts darüber, ob das entschlüsselte Paket den Server hinter der Firewall erreichen darf. Über den Zugriff wird später entschieden, durch eine Interface-Policy, durch einen Group-Policy-Filter oder durch beides, je nachdem, wie der Tunnel aufgebaut wurde.

Die Crypto-ACL beantwortet eine andere Frage

Eine Crypto-ACL ist eine Übereinstimmungsliste. Sie sagt dem Tunnel, was zwischen zwei Peers verschlüsselt werden soll; ein Paket, das nicht darauf passt, ist schlicht nicht geschützt. Sie zu erweitern ändert den Umfang des Schutzes und sonst nichts.

Deshalb kann das Hinzufügen eines Subnetzes dort einen Tunnel hochbringen, während die eigentliche Anwendung weiter scheitert. Der Tunnel steht, weil es nun eine Übereinstimmung gibt. Die Anwendung scheitert weiter, weil nichts in dieser Liste irgendetwas erlaubt. Zwei verschiedene Fragen, beantwortet von zwei verschiedenen Listen.

Was die Bypass-Einstellung wirklich überspringt

sysopt connection permit-vpn lässt geschützten Verkehr die Interface-ACL-Prüfung überspringen, die sonst auf der eingehenden Seite gelten würde. Das ist eine Erleichterung für VPN-Bereitstellungen, und sie ist global. Sie berührt die Group Policy nicht und berührt keinen Autorisierungsfilter pro Benutzer.

Lesen Sie den tatsächlichen Wert statt der Annahme: show running-config all sysopt gibt die Einstellung auch dann aus, wenn sie nie ausdrücklich konfiguriert wurde, und genau dort beginnt viel Verwirrung.

Weil die Einstellung global ist, ist es ein schlechter Tausch, sie als schnelles Experiment an einem fehlerhaften Subnetz zu testen. Jeder andere Tunnel auf dieser Firewall teilt das Ergebnis. Heben Sie sie sich für eine bewusste Änderung mit Rückfallplan auf.

Lesen Sie den Filter in entschlüsselter Richtung

Ein LAN-to-LAN-vpn-filter wird aus Sicht des Tunnels geschrieben, nicht aus Sicht des Interfaces. Das entfernte Netz steht in der Quellposition und das lokale Netz in der Zielposition, weil das Paket nach der Entschlüsselung so aussieht. Derselbe Filter wird dann vor der Verschlüsselung noch einmal in der Gegenrichtung ausgewertet, mit vertauschten Adressrollen.

Portbedingungen verdienen genau deshalb mehr Sorgfalt als eine kopierte Interface-ACL. Eine Regel, die einen Zielport erlaubt, kann in der Gegenrichtung eine unbeabsichtigte Wirkung haben, wo eine neue Verbindung diesen Port als Quelle nutzt. Notieren Sie, welche Seite initiieren darf, den tatsächlichen Dienst und die Gegenseite, die geschlossen bleiben muss, bevor Sie die Liste bauen.

Bestätigen Sie, welcher Filter tatsächlich angehängt ist: show running-config group-policy und show vpn-sessiondb detail l2l zusammen sagen Ihnen, was die Sitzung geerbt hat. Eine ACL zu bearbeiten, auf die keine Policy verweist, ändert nichts.

Verwenden Sie nicht ein ACL-Objekt für zwei Aufgaben

Eine Interface-access-group und ein vpn-filter sehen wie derselbe Objekttyp aus und werden an verschiedenen Punkten mit unterschiedlicher Adressausrichtung ausgewertet. Eine Liste beiden zuzuweisen lädt zu einer Änderung ein, die den Tunnel repariert und das physische Interface still lockert.

Halten Sie sie getrennt, benennen Sie sie nach ihrer Aufgabe, und lassen Sie den Richtungsunterschied in den Namen sichtbar werden.

Prüfen Sie mit neuen Verbindungen, in beide Richtungen

Öffnen Sie nach einer geplanten Änderung eine neue Verbindung, die erlaubt werden soll, und eine neue Verbindung, die abgelehnt werden soll, und halten Sie dann Adressen, Richtung und Policy-Übereinstimmung zusammen mit dem Ergebnis fest. Eine bestehende Sitzung beweist nichts über die Filterung neuer Verbindungen, weil sie bereits unter den alten Regeln zugelassen wurde.

Rechnen Sie auch mit der Inspection. Die Herstellerdokumentation merkt an, dass ein VPN-Filter die erste Verbindung prüft und nicht jede Sekundärverbindung, die eine Inspection-Engine öffnet, sodass ein Steuerkanal und sein zugehöriger Medienfluss unterschiedlich behandelt werden können. Wenn die Anwendung protokollbewusst ist, testen Sie den tatsächlichen Fluss statt einer einzelnen Portsonde.

Ein Tunnel, der nach einem breiten Bypass nutzbar wird, sagt Ihnen, dass die Einschränkung entfernt wurde, nicht dass sie erfüllt wurde. Das Ergebnis, das es zu behalten lohnt, ist ein benannter Durchsetzungspunkt, auf den Sie bei der nächsten Überprüfung zeigen können.