Κληρονομεί ένα υποδίκτυο VPN το επίπεδο ασφαλείας της διεπαφής ASA;

Κάποιος ρωτά αν το υποδίκτυο VPN του παραρτήματος έχει «επίπεδο ασφαλείας 0 ή 100» στο ASA, και η ερώτηση περιέχει ήδη το λάθος. Το επίπεδο ασφαλείας είναι ιδιότητα μιας τοπικής διεπαφής και εκχωρείται από 0 έως 100 στη διαμόρφωση της διεπαφής. Ένα απομακρυσμένο υποδίκτυο που φτάνει μέσω σήραγγας δεν αποκτά κανένα, όπως κι αν είναι γραμμένο το crypto map. Γι’ αυτό η ερώτηση δεν έχει αριθμητική απάντηση.

Η πρακτική επόμενη ερώτηση είναι καλύτερη: ποια πολιτική επιτρέπει στο παράρτημα την πρόσβαση στον διακομιστή και ποια το κρατά μακριά από το ίδιο το τείχος προστασίας. Αυτές είναι δύο απαντήσεις, και η διαδικασία παρακάτω τις χωρίζει.

Τα επίπεδα ασφαλείας ανήκουν στις διεπαφές

Εκτελέστε show running-config interface και θα δείτε security-level κάτω από κάθε φυσική διεπαφή ή διεπαφή VLAN, όχι κάτω από την ομάδα σήραγγας ή το crypto map. Η προεπιλεγμένη άδεια από υψηλότερο σε χαμηλότερο αξιολογείται μεταξύ αυτών των διεπαφών, γι’ αυτό ο αριθμός αλλάζει τη συμπεριφορά επιθεώρησης και έμμεσης ACL στη διαδρομή στην οποία ανήκει.

Για μια αποκρυπτογραφημένη ροή VPN, η είσοδος παραμένει η εξωτερική διεπαφή όπου τερματίζεται η σήραγγα, και η έξοδος είναι η εσωτερική διεπαφή προς τον διακομιστή. Γράψτε και τις δύο πριν αγγίξετε οτιδήποτε. Αυτό το ένα βήμα εξαλείφει το μεγαλύτερο μέρος της σύγχυσης, γιατί μετατρέπει μια αφηρημένη ερώτηση εμπιστοσύνης σε ζεύγος διεπαφών.

Η παράκαμψη ACL έχει ονομασμένο όριο

sysopt connection permit-vpn είναι η ρύθμιση που θυμούνται μισο-μισο όσοι λένε ότι η κίνηση VPN αγνοεί τις ACL. Πράγματι παρακάμπτει την ACL της διεπαφής για κίνηση που χαρακτηρίζεται κίνηση VPN, και ο οδηγός παραμέτρων 9.x την περιορίζει ανά διεπαφή και κατεύθυνση αντί να δηλώνει καθολική εξαίρεση.

Ελέγξτε τι είναι ρυθμισμένο πριν συλλογιστείτε από μνήμης:

• show running-config all sysopt για να δείτε την πραγματική τιμή, όχι μόνο τις γραμμές που δεν είναι προεπιλεγμένες.
• show running-config access-group για να δείτε ποια ACL εφαρμόζεται σε ποια διεπαφή και κατεύθυνση.
• show vpn-sessiondb detail l2l για να επιβεβαιώσετε ποια ομάδα σήραγγας και ποιο φίλτρο χρησιμοποιεί πραγματικά η συνεδρία.

Η απενεργοποίηση αυτής της ρύθμισης για αυστηρότερη πρόσβαση VPN είναι αλλαγή με μεγάλο εύρος. Υποβάλλει ξανά κάθε κατάλληλη ροή VPN στην εξωτερική ACL, κάτι που συνήθως σπάει σήραγγες που λειτουργούν με τρόπους άσχετους με το παράρτημα για το οποίο ρωτηθήκατε.

Διαβάστε το φίλτρο που συνδέεται με τη συνεδρία

Ο πραγματικός έλεγχος ανά σήραγγα είναι το φίλτρο VPN: μια ACL στην οποία αναφέρεται πολιτική ομάδας ή όνομα χρήστη, εφαρμόζεται μετά την αποκρυπτογράφηση και πριν την κρυπτογράφηση. Ένα φίλτρο σε επίπεδο χρήστη υπερισχύει της τιμής σε επίπεδο ομάδας, οπότε δύο άτομα στην ίδια ομάδα σήραγγας μπορούν να έχουν διαφορετική πραγματική πρόσβαση.

Επιβεβαιώστε την προτεραιότητα αντί να την υποθέσετε. show running-config group-policy <name> δείχνει την τιμή της ομάδας, και show running-config username <name> δείχνει αν υπάρχει τιμή ανά χρήστη. Αν υπάρχουν και οι δύο, κερδίζει η τιμή χρήστη. Στη συνέχεια συγκρίνετε τις καταχωρίσεις αυτής της ACL με τη ροή που σας ενδιαφέρει, στην κατεύθυνση που αξιολογεί το φίλτρο.

Ένα φίλτρο που επιτρέπει τον διακομιστή εφαρμογών δεν λέει τίποτα για τη διαχείριση. Αυτοί είναι ξεχωριστοί κανόνες σε ξεχωριστή διαδρομή.

Επαληθεύστε μία άδεια και μία απόρριψη

Το Packet-tracer είναι ο ταχύτερος τρόπος να δείτε την απόφαση χωρίς να περιμένετε να την αναφέρει χρήστης. Δώστε του τη ροή από την αποκρυπτογραφημένη πλευρά και αφήστε το να ονομάσει τα στάδια ACL, NAT και επιθεώρησης που περνά.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Διαβάστε τη γραμμή αποτελέσματος: ονομάζει την ACL που επέτρεψε ή απέρριψε το πακέτο.
3. Επαναλάβετε με τον διαχειριστικό προορισμό στην εσωτερική διεπαφή και επιβεβαιώστε μια απόρριψη.
4. Επαναλάβετε άλλη μία φορά μετά από κάθε αλλαγή, ώστε να καταγραφεί και η κατάσταση πριν και η μετά.

Στη συνέχεια επαληθεύστε με πραγματική κίνηση: ένα επιτυχές αίτημα εφαρμογής από το παράρτημα και μία αποτυχημένη απόπειρα SSH προς το ASA. Το Packet-tracer προσομοιώνει τη διαδρομή· μια ζωντανή ροή αποδεικνύει ότι το μοντέλο αντιστοιχούσε.

Αναστρέψτε την αλλαγή που το έκανε να λειτουργήσει

Αν η διόρθωση ήταν η απενεργοποίηση της παράκαμψης ACL ή η διεύρυνση ενός φίλτρου, κρατήστε την προηγούμενη διαμόρφωση. Μια καταγραφή show run των επηρεαζόμενων αντικειμένων, αποθηκευμένη πριν την αλλαγή, αρκεί για την επαναφορά τους· η διαμόρφωση ASA είναι προσανατολισμένη σε γραμμές, οπότε η αναστροφή σημαίνει επανεισαγωγή των παλιών γραμμών, όχι επαναφορά αρχείου.

Καταγράψτε το ζεύγος διεπαφών, το πραγματικό φίλτρο, το όνομα ACL από το packet-tracer και τις ακριβείς εντολές που αλλάξατε. Αυτή η καταγραφή μετατρέπει την επόμενη αναθεώρηση σε πεντάλεπτο έλεγχο αντί για άλλη μια συζήτηση για τα επίπεδα εμπιστοσύνης.