Γιατί τα αιτήματα TACACS+ του ASA παρακάμπτουν το τούνελ VPN του υποκαταστήματός σας

Το τούνελ του υποκαταστήματος είναι ενεργό, οι χρήστες πιστοποιούνται στον απομακρυσμένο διακομιστή TACACS+, και η σύνδεση του ίδιου του firewall εξακολουθεί να λήγει. Ο λόγος δεν είναι σφάλμα στο τούνελ: ένα τούνελ LAN-to-LAN μεταφέρει κίνηση που ταιριάζει με τους επιλογείς του, και η κίνηση διαχείρισης που παράγει το ASA για τον εαυτό του είναι ξεχωριστή ροή με δική της διεύθυνση προέλευσης. Οι περισσότερες ομάδες το ανακαλύπτουν κατά τη διάρκεια ενός παραθύρου αλλαγών, όταν ο μοναδικός λογαριασμός διαχειριστή είναι αυτός που αποτυγχάνει. Αντιμετωπίστε τη συνεδρία AAA που ξεκινά το ASA ως ροή που πρέπει να σχεδιάσετε, όχι ως παρενέργεια συνδεσιμότητας που ήδη λειτουργεί.

Το ASA είναι ο πελάτης και η δική του κίνηση χρειάζεται τη δική της διαδρομή

Όταν το firewall επικοινωνεί με έναν διακομιστή TACACS+, το firewall είναι πελάτης όπως οποιοσδήποτε άλλος, με τη διαφορά ότι κανείς δεν διαμόρφωσε σκόπιμα μια διαδρομή γι' αυτό. Τα πακέτα του προέρχονται από μια διεύθυνση διεπαφής της συσκευής, παράγονται τοπικά αντί να προωθούνται, και πρέπει να δρομολογούνται, να μεταφράζονται και να προστατεύονται από πολιτική ακριβώς όπως η κίνηση χρηστών. Ένα τούνελ από site σε site που προστατεύει ένα υποδίκτυο χρηστών δεν προστατεύει αυτόματα αυτή την πηγή διαχείρισης, γιατί η επιλογή κίνησης βασίζεται σε διευθύνσεις και όχι σε πρόθεση.

Γράψτε τη διεύθυνση που περιμένετε να δει ο διακομιστής. Αν δεν μπορείτε να τη διατυπώσετε σε μία γραμμή, δεν έχετε ακόμη σχέδιο.

Η διεπαφή στη γραμμή aaa-server δεν είναι διακοσμητική

Στο ASA, η καταχώριση κεντρικού υπολογιστή aaa-server δέχεται συσχέτιση διεπαφής σε παρένθεση, και η αναφορά εντολών κεντρικού υπολογιστή AAA της Cisco την περιγράφει ως τη διεπαφή όπου βρίσκεται ο διακομιστής πιστοποίησης. Αυτή η συσχέτιση είναι που συνδέει το αίτημα με μια διεπαφή και με την πολιτική που εφαρμόζει η διεπαφή. Η επιλογή της με όποια διεπαφή βλέπει προς το διαδίκτυο, ή η διατήρηση ό,τι υπήρχε από τη τελευταία μετεγκατάσταση, παράγει μια διεύθυνση προέλευσης για την οποία ο απομακρυσμένος διακομιστής και το τούνελ δεν χτίστηκαν ποτέ.

Το inside είναι η σωστή απάντηση μόνο όταν η ονομαζόμενη διεπαφή έχει τη διεύθυνση που το σχέδιό σας σκοπεύει να χρησιμοποιήσει ως πηγή. Σε συσκευή υποκαταστήματος συχνά είναι· σε συσκευή με πολλά ιδιωτικά τμήματα μπορεί να μην είναι.

Η αλλαγή της συσχέτισης σημαίνει επαναδημιουργία της καταχώρισης

Η ίδια αναφορά εντολών τεκμηριώνει έναν περιορισμό επεξεργασίας που παγιδεύει κόσμο στις μεταβάσεις: η αλλαγή της διεπαφής σε υπάρχοντα κεντρικό υπολογιστή απαιτεί αφαίρεση και επαναδημιουργία της καταχώρισης. Μια διαμόρφωση που φαίνεται επεξεργασμένη μπορεί να μην έχει εφαρμοστεί, και η επόμενη προσπάθεια σύνδεσης θα φύγει ακόμη από την παλιά διεύθυνση. Σχεδιάστε το ως διαγραφή και προσθήκη με αντίγραφο της αρχικής καταχώρισης μπροστά σας, όχι ως διόρθωση επί τόπου.

Αν έχουν οριστεί πολλοί διακομιστές, αλλάξτε έναν και δοκιμάστε τον πριν αγγίξετε τους υπόλοιπους, ώστε ένα λάθος να μην κλειδώσει όλες τις διαχειριστικές διαδρομές ταυτόχρονα.

Ελέγξτε επιλογείς, μετάφραση και διαδρομή επιστροφής μαζί

Τρία πράγματα πρέπει να συμφωνούν για να φτάσει το αίτημα. Οι επιλογείς κίνησης του τούνελ, ή η προστασία της διεπαφής τούνελ αν χρησιμοποιείτε μία, πρέπει να περιλαμβάνουν την ίδια πηγή του ASA και τη διεύθυνση του διακομιστή· μια λίστα επιλογέων φτιαγμένη για υποδίκτυα χρηστών συνήθως δεν το κάνει. Οποιοσδήποτε κανόνας NAT στη διαδρομή πρέπει να μεταφράζει αυτή την πηγή με συνέπεια, γιατί ο διακομιστής εξουσιοδοτεί ταυτότητα δικτυακής συσκευής που περιλαμβάνει τη διεύθυνση που βλέπει. Και η διαδρομή επιστροφής πρέπει να υπάρχει, που σε τούνελ βασισμένο σε πολιτική σημαίνει ότι το απομακρυσμένο άκρο έχει αντίστοιχο επιλογέα στην άλλη κατεύθυνση.

Στην πλευρά του διακομιστή, επιβεβαιώστε ξεχωριστά την ταυτότητα της συσκευής, το κοινό μυστικό και τη διαχειριστική πολιτική. Το TACACS+ κρατά πιστοποίηση, εξουσιοδότηση και καταγραφή ως ξεχωριστές λειτουργίες, οπότε μια άρνηση που φτάνει μετά από ολοκληρωμένη ανταλλαγή είναι απάντηση πολιτικής, όχι αποτυχία μεταφοράς. Αν τη διαβάσετε ως δικτυακό πρόβλημα, θα ψάξετε σε λάθος μέρος.

Κρατήστε το μυστικό έξω από καταγραφές πακέτων, δελτία και απομαγνητοφωνήσεις όσο κάνετε αποσφαλμάτωση, και θυμηθείτε ότι η διεύθυνση προέλευσης που καταγράφει ο διακομιστής είναι αυτή που πρέπει να εξηγεί το σχέδιό σας.

Κάντε την αλλαγή χωρίς να κλειδωθείτε έξω

Χρησιμοποιήστε κονσόλα ή ανεξάρτητη διαδρομή διαχείρισης όταν αλλάζετε την απομακρυσμένη διαχειριστική πιστοποίηση, και κρατήστε εγκεκριμένο τοπικό εφεδρικό μέσο μέχρι η νέα διαδρομή να μεταφέρει πραγματική σύνδεση. Έπειτα επικυρώστε στενά: έναν διακομιστή, μία συσκευή, μία επιτυχημένη πιστοποίηση με τη διεύθυνση προέλευσης να παρατηρείται στα δύο άκρα.

Καταγράψτε τη ροή στη δική της σελίδα: διεπαφή και διεύθυνση προέλευσης, απομακρυσμένος διακομιστής, προστατευμένη διαδρομή και το άτομο που κατέχει την πολιτική εξουσιοδότησης. Έτσι μια μεταγενέστερη αλλαγή διεπαφής ή τούνελ μπορεί να αξιολογηθεί χωρίς να μαντέψετε ποια από τις δύο ροές επηρεάζει.