Γιατί ένας απομακρυσμένος χρήστης ASA φτάνει στο υποδίκτυο αλλά όχι στην εφαρμογή
Οι διαδρομές αποδεικνύουν ότι η σήραγγα λειτουργεί, όχι ότι ο χρήστης επιτρέπεται να ανοίξει την εφαρμογή. Διαβάστε το φίλτρο που έλαβε η συνεδρία και δοκιμάστε μια επιτρεπόμενη και μια απορριφθείσα σύνδεση.
Ο χρήστης σας συνδέεται, λαμβάνει διεύθυνση, κάνει ping σε έναν διακομιστή στο υποδίκτυο της εφαρμογής και παρ’ όλα αυτά δεν μπορεί να ανοίξει την υπηρεσία πάνω του. Αυτός ο συνδυασμός είναι φυσιολογικός σε μια ASA, επειδή μια επιτυχημένη σήραγγα και μια αξιοποιήσιμη άδεια αποφασίζονται από διαφορετικές ρυθμίσεις. Η λίστα διαχωρισμένης σήραγγας επέλεξε ποιοι προορισμοί μπήκαν στη σήραγγα, ενώ ένα φίλτρο VPN και οι δικοί του κανόνες πρόσβασης του προορισμού αποφασίζουν τι μπορεί να φτάσει το αποκρυπτογραφημένο αίτημα. Περάστε τις τρεις αποφάσεις με σειρά αντί να διευρύνετε τη λίστα διαδρομών μέχρι να αλλάξει κάτι.
Τρεις αποφάσεις που μπερδεύονται εύκολα
Η εισδοχή απαντά αν ο χρήστης μπορεί να εγκαταστήσει καθόλου τη σήραγγα: διαπιστευτήρια, πιστοποιητικό και τυχόν δεύτερος παράγοντας. Η επιλογή διαδρομής απαντά ποιους προορισμούς στέλνει ο πελάτης μέσα σε αυτή τη σήραγγα. Η εξουσιοδότηση απαντά αν το αποκρυπτογραφημένο αίτημα μπορεί να φτάσει την υπηρεσία. Μόνο η τρίτη παράγει το σφάλμα που αναφέρει ο χρήστης.
Ένας γρήγορος τρόπος να τις ξεχωρίσετε είναι να ρωτήσετε τι θα χαλούσε μια αλλαγή. Η αφαίρεση μιας διαδρομής από τη λίστα διαχωρισμού σταματά την κίνηση προς αυτό το υποδίκτυο χωρίς να παραχωρεί τίποτα, ενώ η προσθήκη μιας ACE στο φίλτρο VPN παραχωρεί έναν προορισμό χωρίς να αλλάζει τι διοχετεύει ο πελάτης στη σήραγγα.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Διαβάστε το φίλτρο που έλαβε πραγματικά η συνεδρία
Ξεκινήστε από τη ζωντανή συνεδρία και όχι από τη διαμόρφωση που νομίζετε ότι ισχύει. show vpn-sessiondb detail anyconnect εκτυπώνει την εκχωρημένη πολιτική ομάδας και το όνομα του φίλτρου που συνδέεται με αυτή τη συνεδρία. Αν το πεδίο είναι κενό, κανένα φίλτρο δεν επιβάλλει τίποτα και ο αποκλεισμός έρχεται από αλλού.
Στη συνέχεια διαβάστε την πολιτική που κατέχει την τιμή, μαζί με τις προεπιλογές, επειδή ένα φίλτρο μπορεί να κληρονομηθεί αντί να έχει γραφτεί εκεί που κοιτάτε:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Συγκρίνετε το όνομα του φίλτρου στη συνεδρία με το ACL που μόλις επεξεργαστήκατε. Ένα ACL με παρόμοιο όνομα που ο χρήστης δεν έλαβε ποτέ δεν μπορεί να αλλάξει την πολιτική πόρων αυτής της συνεδρίας, και αυτός είναι ο συνηθέστερος λόγος που μια αλλαγή που φαίνεται σωστή δεν έχει κανένα αποτέλεσμα.
Η προτεραιότητα εξηγεί τα υπόλοιπα. Για τη ρύθμιση του φίλτρου, μια εγγραφή DAP υπερέχει των χαρακτηριστικών ονόματος χρήστη και τα χαρακτηριστικά ονόματος χρήστη υπερέχουν της πολιτικής ομάδας. Όταν μια συνεδρία δείχνει ένα φίλτρο που δεν περιμένατε, αναζητήστε πολιτική DAP που ταιριάζει σε αυτόν τον χρήστη πριν αγγίξετε την ομάδα.
Η λίστα διαχωρισμού και το φίλτρο είναι ξεχωριστά πεδία
Στο ASA 9.x η πολιτική ομάδας κρατά split-tunnel-network-list και vpn-filter ως διαφορετικές ρυθμίσεις, και ο οδηγός πολιτικών ομάδας 9.22 τα τεκμηριώνει χωριστά για αυτόν ακριβώς τον λόγο. Η λίστα δικτύων είναι μια υπόδειξη δρομολόγησης προς τον πελάτη, ενώ το φίλτρο είναι μια λίστα ελέγχου πρόσβασης που εφαρμόζεται στην αποκρυπτογραφημένη κίνηση.
Αυτή η διάκριση έχει σημασία όταν ένας χρήστης χρειάζεται μία υπηρεσία HTTPS σε ένα υποδίκτυο. Βάλτε το υποδίκτυο στη λίστα διαχωρισμού ώστε τα πακέτα να μπουν στη σήραγγα και μετά επιτρέψτε μόνο αυτή την υπηρεσία στο φίλτρο. Η επέκταση της λίστας διαδρομών δεν εξουσιοδοτεί τίποτα και η συρρίκνωσή της δεν είναι μηχανισμός επιβολής.
Ελέγξτε αν ένα ACL διεπαφής βρίσκεται καν στη διαδρομή
Η αποκρυπτογραφημένη κίνηση απομακρυσμένης πρόσβασης δεν διασχίζει πάντα το ACL της εξωτερικής διεπαφής όπως υποθέτουν οι άνθρωποι. Όπου το sysopt connection permit-vpn είναι ενεργό, η ASA εφαρμόζει την τεκμηριωμένη παράκαμψη VPN για αυτή την κίνηση, ενώ τα ισχύοντα φίλτρα VPN εξακολουθούν να εφαρμόζονται μετά. Ελέγξτε τη ρύθμιση με το show run all sysopt αντί να συμπεραίνετε από το διάγραμμα τοπολογίας.
Όπως και να έχει, το δικό του τείχος προστασίας του κεντρικού υπολογιστή προορισμού και η εξουσιοδότηση της εφαρμογής παραμένουν στη διαδρομή. Ένας κανόνας ASA που επιτρέπει TCP 443 δεν κάνει την εφαρμογή να δεχτεί τον χρήστη.
Αποδεχτείτε την αλλαγή και με μια απορριφθείσα σύνδεση
Μια επιτρεπόμενη δοκιμή μόνη της αποδεικνύει ελάχιστα, επειδή μια σήραγγα που λειτουργεί παράγει το ίδιο πρώτο πακέτο είτε υπάρχει φίλτρο είτε όχι. Ανοίξτε την προβλεπόμενη υπηρεσία από τον πελάτη, μετά δοκιμάστε έναν προορισμό που πρέπει να μείνει κλειστός και επιβεβαιώστε ότι αποτυγχάνει για τον σωστό λόγο.
Καταγράψτε τέσσερα γεγονότα όταν κλείνετε το δελτίο: την ταυτότητα που έγινε δεκτή, την πολιτική και το φίλτρο που έλαβε πραγματικά η συνεδρία, τους προορισμούς στη λίστα διαχωρισμού και τον πόρο που επιτράπηκε στον χρήστη να φτάσει. Αυτά τα τέσσερα εξηγούν πού ελέγχεται η κίνηση χωρίς να μετατρέπεται μια λίστα διαδρομών σε τείχος προστασίας.
Αν η υπηρεσία εξακολουθεί να αρνείται αφού το φίλτρο την επιτρέψει, περάστε στον κεντρικό υπολογιστή: διεύθυνση ακρόασης, τείχος προστασίας του κεντρικού υπολογιστή και η δική του αντιστοίχιση χρηστών της εφαρμογής. Η σήραγγα έκανε τη δουλειά της σε εκείνο το σημείο και περαιτέρω αλλαγές στην ASA προσθέτουν μόνο κίνδυνο.