Το VPN μεταξύ τοποθεσιών λειτουργεί, αλλά τα αρχεία καταγραφής του ASA δεν φτάνουν: ελέγξτε τη διεύθυνση προέλευσης

Οι εσωτερικοί υπολογιστές φτάνουν στον απομακρυσμένο συλλέκτη και οι γραμμές syslog τους εμφανίζονται. Τα δικά του μηνύματα του ASA για τις ίδιες συνεδρίες δεν φτάνουν ποτέ. Δεν υπάρχει πρόβλημα ούτε με τον συλλέκτη ούτε με το τούνελ, και αυτό είναι το μπερδεμένο μέρος. Το τείχος προστασίας στέλνει τα αρχεία καταγραφής του από πηγή που το τούνελ δεν χτίστηκε ποτέ για να προστατεύει.

Τι φτάνει και τι δεν φτάνει

Ξεκινήστε χωρίζοντας δύο ροές που φαίνονται ίδιες σε ένα ταμπλό. Η προωθημένη κίνηση περνά από τον ASA: ένας υπολογιστής LAN στέλνει στον συλλέκτη, ο ASA την αντιπαραβάλλει με την πολιτική του τούνελ, την κρυπτογραφεί και ο συλλέκτης βλέπει τη διεύθυνση του υπολογιστή. Η παραγόμενη κίνηση ξεκινά στον ίδιο τον ASA: η συσκευή χτίζει ένα πακέτο syslog, επιλέγει διεπαφή εξόδου και πηγή και μόνο τότε ρωτά αν ταιριάζει κάποια πολιτική τούνελ. Η πρώτη ροή αποδεικνύει ότι το τούνελ λειτουργεί και δεν λέει τίποτα για τη δεύτερη.

Ένα συμβάν σε προσωρινή μνήμη στη συσκευή δεν είναι ούτε αυτό απόδειξη απομακρυσμένης παράδοσης, αφού το αρχείο μπορεί να υπάρχει τοπικά και να μην έχει ποτέ σταλεί. Ελέγξτε τους μετρητές λήψης του συλλέκτη πριν κατηγορήσετε το τούνελ, γιατί ένας άδειος μετρητής είναι διαφορετικό εύρημα από έναν που αυξάνεται.

Ένα παραγόμενο μήνυμα δεν είναι προωθημένη κίνηση

Όταν ο ASA παράγει ένα πακέτο, δεν κάνει διαμεσολάβηση για υπολογιστή LAN. Η πηγή προέρχεται από τη διεπαφή εξόδου ή από ρητή ρύθμιση πηγής, και το πακέτο μπαίνει στην ίδια αναζήτηση διαδρομής και στους ίδιους ελέγχους πολιτικής με οτιδήποτε άλλο στέλνει η συσκευή. Αυτό σημαίνει ότι ο επιλογέας VPN πρέπει να περιλαμβάνει τη διεύθυνση που χρησιμοποιεί πραγματικά ο ASA, και αυτή είναι συχνά η εξωτερική διεπαφή του και όχι ένα εσωτερικό υποδίκτυο.

Αν η πολιτική προστατεύει το 10.20.0.0/24 και ο ASA χρησιμοποιεί ως πηγή την εξωτερική του διεύθυνση, το πακέτο καταγραφής είτε φεύγει σε καθαρό κείμενο προς συλλέκτη που δεν μπορεί να φτάσει, είτε απορρίπτεται. Και τα δύο αποτελέσματα φαίνονται ίδια από την πλευρά του συλλέκτη. Η ίδια λογική ισχύει για την κίνηση διαχείρισης, γι’ αυτό το management-access είναι ξεχωριστή σχεδιαστική απόφαση.

Ποια πηγή βάζει ο ASA στο δίκτυο

Βρείτε την πηγή εμπειρικά και όχι με υπόθεση. Μια σύλληψη στη διεπαφή εξόδου κατά τη διάρκεια δοκιμαστικού μηνύματος δείχνει την πραγματική πηγή και τον προορισμό, και κοστίζει λιγότερο χρόνο από την ανάγνωση τριών ενοτήτων ρυθμίσεων. Συγκρίνετε αυτή τη διεύθυνση με τον τοπικό επιλογέα του τούνελ.

Ορισμένες εκδόσεις σας επιτρέπουν να καρφιτσώσετε την πηγή καταγραφής σε μια διεπαφή, και η αναφορά εντολών για την έκδοσή σας είναι η αυθεντία για το αν υπάρχει αυτή η επιλογή και τι αλλάζει. Μια εντολή source-interface από άλλη πλατφόρμα Cisco δεν είναι αυτόματα έγκυρη σε ASA.

Αν αλλάξετε την πηγή, αλλάξτε την σκόπιμα και σημειώστε το, γιατί οι ACL του συλλέκτη και κάθε συσχέτιση που βασίζεται στο syslog εξαρτώνται από αυτή.

Ταιριάξτε τον επιλογέα με τη ροή καταγραφής

Μόλις γίνει γνωστή η πηγή, ελέγξτε τρία πράγματα με σειρά: το crypto ACL ή τον επιλογέα βάσει πολιτικής που αποφασίζει ποια κίνηση ενδιαφέρει, τη διαδρομή που αποφασίζει πού πάει το πακέτο, και κάθε κανόνα NAT που μπορεί να ξαναγράψει την πηγή πριν από την κρυπτογράφηση. Ένα πακέτο που ταιριάζει στη διαδρομή αλλά όχι στον επιλογέα δεν περνά από το τούνελ, και ένα πακέτο που ξαναγράφτηκε από NAT μπορεί να μην ταιριάζει σε κανένα από τα δύο.

Η πλευρά του συλλέκτη έχει δικές της απαιτήσεις: ένα ACL που επιτρέπει την πηγή του ASA, μια διαδρομή επιστροφής και μια υπηρεσία ακρόασης στη θύρα που ρυθμίσατε. Η μεταφορά μετράει κι εδώ, γιατί η καταγραφή μέσω TCP και TLS συμπεριφέρεται διαφορετικά από το UDP σε μερικώς φραγμένη διαδρομή. Αλλάξτε ένα στοιχείο τη φορά, αλλιώς η επόμενη σύλληψη δεν θα σας πει ποια αλλαγή είχε σημασία.

Επαληθεύστε στον συλλέκτη και μετά καταγράψτε την πηγή

Επιβεβαιώστε ότι το μήνυμα φτάνει, μετά σημειώστε τη διεύθυνση πηγής που χρησιμοποίησε ο ASA, τον επιλογέα που το μετέφερε και τη σοβαρότητα με την οποία δοκιμάσατε.

Αυτή η καταγραφή μετατρέπει την επόμενη αλλαγή ACL στον συλλέκτη ή την επεξεργασία του επιλογέα σε έλεγχο δύο λεπτών αντί για εκ νέου ανακάλυψη. Τεκμηριώνει επίσης ποια από τις δύο ροές επαληθεύτηκε ποτέ, και αυτό είναι το μέρος που παραλείπουν τα περισσότερα εγχειρίδια. Αν το μήνυμα ακόμα δεν φτάνει, χαμηλώστε προσωρινά το όριο σοβαρότητας και δοκιμάστε προς έναν μόνο προορισμό.

Ο οδηγός συχνών ερωτήσεων για την καταγραφή ASA της Cisco τεκμηριώνει μια περίπτωση με εξωτερική πηγή που χρειάζεται τον αντίστοιχο ορισμό προστατευμένης κίνησης, και το παράδειγμά του με εσωτερική πηγή περιλαμβάνει και υπολογιστή καταγραφής στο εσωτερικό και management-access στο εσωτερικό. Αντιμετωπίστε τον τεκμηριωμένο συνδυασμό και το πλαίσιο του λογισμικού μαζί, αντί να υποθέσετε ότι μια αντιγραμμένη γραμμή ταιριάζει σε κάθε ρύθμιση.

Ένα τούνελ που μεταφέρει κίνηση LAN δεν είναι τούνελ που μεταφέρει τη δική του φωνή του τείχους προστασίας.