Ποιος κανόνας του ASA βλέπει την κίνηση αφού το VPN την αποκρυπτογραφήσει

Η πρώτη παραδοχή που πρέπει να εγκαταλείψετε είναι ότι το crypto ACL είναι πολιτική πρόσβασης. Δεν είναι. Σε ένα Cisco ASA, αυτή η λίστα απαντά σε ένα στενό ερώτημα: ποια πακέτα αξίζουν προστασία, και η απάντηση δεν λέει τίποτα για το αν το αποκρυπτογραφημένο πακέτο μπορεί να φτάσει στον διακομιστή πίσω από το τείχος προστασίας. Η πρόσβαση αποφασίζεται αργότερα, από πολιτική διεπαφής, από φίλτρο πολιτικής ομάδας ή και από τα δύο, ανάλογα με το πώς χτίστηκε η σήραγγα.

Το crypto ACL απαντά σε διαφορετικό ερώτημα

Το crypto ACL είναι λίστα αντιστοίχισης. Λέει στη σήραγγα τι να κρυπτογραφήσει μεταξύ δύο ομοτίμων· ένα πακέτο που δεν ταιριάζει απλώς δεν προστατεύεται. Η διεύρυνσή του αλλάζει το εύρος της προστασίας και τίποτα άλλο.

Γι' αυτό η προσθήκη ενός υποδικτύου εκεί μπορεί να σηκώσει σήραγγα ενώ η ίδια η εφαρμογή εξακολουθεί να αποτυγχάνει. Η σήραγγα είναι πάνω επειδή υπάρχει πλέον αντιστοίχιση. Η εφαρμογή εξακολουθεί να αποτυγχάνει επειδή τίποτα σε εκείνη τη λίστα δεν επιτρέπει τίποτα. Δύο διαφορετικά ερωτήματα, δύο διαφορετικές λίστες.

Τι πραγματικά παρακάμπτει η ρύθμιση παράκαμψης

Το sysopt connection permit-vpn επιτρέπει στην προστατευμένη κίνηση να παρακάμψει τον έλεγχο ACL της διεπαφής που θα ίσχυε διαφορετικά στην πλευρά εισόδου. Είναι ευκολία για αναπτύξεις VPN και είναι καθολική. Δεν αγγίζει την πολιτική ομάδας και δεν αγγίζει φίλτρο εξουσιοδότησης ανά χρήστη.

Διαβάστε την πραγματική τιμή αντί για την παραδοχή: το show running-config all sysopt εκτυπώνει τη ρύθμιση ακόμη και όταν δεν έχει ρυθμιστεί ποτέ ρητά, και εκεί ξεκινά μεγάλο μέρος της σύγχυσης.

Επειδή η ρύθμιση είναι καθολική, το να τη δοκιμάσετε ως γρήγορο πείραμα σε ένα υποδίκτυο που αποτυγχάνει είναι κακή ανταλλαγή. Κάθε άλλη σήραγγα σε εκείνο το τείχος προστασίας μοιράζεται το αποτέλεσμα. Κρατήστε τη για σκόπιμη αλλαγή με σχέδιο επαναφοράς.

Διαβάστε το φίλτρο στην αποκρυπτογραφημένη κατεύθυνση

Ένα vpn-filter LAN-to-LAN γράφεται από την οπτική της σήραγγας, όχι της διεπαφής. Το απομακρυσμένο δίκτυο πηγαίνει στη θέση πηγής και το τοπικό δίκτυο στη θέση προορισμού, γιατί έτσι μοιάζει το πακέτο μετά την αποκρυπτογράφηση. Το ίδιο φίλτρο αξιολογείται ξανά στην αντίθετη κατεύθυνση πριν από την κρυπτογράφηση, με τους ρόλους των διευθύνσεων αντεστραμμένους.

Οι συνθήκες θύρας αξίζουν περισσότερη προσοχή από ένα αντιγραμμένο ACL διεπαφής ακριβώς γι' αυτόν τον λόγο. Ένας κανόνας που επιτρέπει μία θύρα προορισμού μπορεί να έχει ανεπιθύμητη επίδραση στην αντίστροφη κατεύθυνση, όπου μια νέα σύνδεση χρησιμοποιεί αυτή τη θύρα ως πηγή. Σημειώστε ποια πλευρά μπορεί να ξεκινήσει, την πραγματική υπηρεσία και το αντίστοιχο μέρος που πρέπει να μείνει κλειστό πριν χτίσετε τη λίστα.

Επιβεβαιώστε ποιο φίλτρο είναι πραγματικά συνδεδεμένο: το show running-config group-policy και το show vpn-sessiondb detail l2l μαζί σας λένε τι κληρονόμησε η συνεδρία. Η επεξεργασία ενός ACL στο οποίο δεν αναφέρεται καμία πολιτική δεν αλλάζει τίποτα.

Μην επαναχρησιμοποιείτε ένα αντικείμενο ACL για δύο δουλειές

Ένα access-group διεπαφής και ένα vpn-filter μοιάζουν με τον ίδιο τύπο αντικειμένου και αξιολογούνται σε διαφορετικά σημεία με διαφορετικό προσανατολισμό διευθύνσεων. Η ανάθεση μιας λίστας και στα δύο προσκαλεί μια αλλαγή που διορθώνει τη σήραγγα και χαλαρώνει σιωπηλά τη φυσική διεπαφή.

Κρατήστε τα χωριστά, ονομάστε τα κατά τη δουλειά τους και αφήστε τη διαφορά κατεύθυνσης να φαίνεται στα ονόματα.

Επαληθεύστε με νέες συνδέσεις, και στις δύο κατευθύνσεις

Μετά από μια προγραμματισμένη αλλαγή, ανοίξτε μία νέα σύνδεση που πρέπει να επιτραπεί και μία νέα σύνδεση που πρέπει να απορριφθεί, και μετά κρατήστε τις διευθύνσεις, την κατεύθυνση και την αντιστοίχιση πολιτικής μαζί με το αποτέλεσμα. Μια εδραιωμένη συνεδρία δεν αποδεικνύει τίποτα για το φιλτράρισμα νέων συνδέσεων, γιατί είχε ήδη γίνει δεκτή με τους παλιούς κανόνες.

Υπολογίστε και την επιθεώρηση. Η τεκμηρίωση του κατασκευαστή σημειώνει ότι ένα φίλτρο VPN ελέγχει την αρχική σύνδεση και όχι κάθε δευτερεύουσα σύνδεση που ανοίγει μια μηχανή επιθεώρησης, οπότε ένα κανάλι ελέγχου και η σχετική ροή μέσων μπορεί να τύχουν διαφορετικής μεταχείρισης. Αν η εφαρμογή γνωρίζει το πρωτόκολλο, δοκιμάστε την πραγματική ροή αντί για ένα μόνο δείγμα θύρας.

Μια σήραγγα που γίνεται χρηστική μετά από ευρεία παράκαμψη σας λέει ότι ο περιορισμός αφαιρέθηκε, όχι ότι ικανοποιήθηκε. Το αποτέλεσμα που αξίζει να κρατήσετε είναι ένα ονομασμένο σημείο επιβολής στο οποίο μπορείτε να δείξετε στην επόμενη αναθεώρηση.