VPN inter retejoj funkcias, sed la protokoloj de ASA ne alvenas: kontrolu la fontan adreson

Internaj gastigantoj atingas la malproksiman kolektanton kaj iliaj syslog-linioj aperas. La propraj mesaĝoj de ASA pri tiuj samaj sesioj neniam alvenas. Nenio malpravas ĉe la kolektanto aŭ ĉe la tunelo, kaj tio estas la konfuza parto. La fajroŝirmilo sendas siajn protokolojn el fonto, por kies protektado la tunelo neniam estis konstruita.

Kio alvenas kaj kio ne

Komencu disigante du fluojn, kiuj aspektas identaj sur panelo. Plusendita trafiko trapasas ASA: LAN-gastiganto sendas al la kolektanto, ASA komparas ĝin kun la tunela politiko, ĉifras ĝin, kaj la kolektanto vidas la adreson de la gastiganto. Generita trafiko komenciĝas sur ASA mem: la aparato konstruas syslog-paketon, elektas eliran interfacon kaj fonton kaj nur poste demandas, ĉu iu tunela politiko kongruas. La unua fluo pruvas, ke la tunelo funkcias, kaj ĝi diras nenion pri la dua.

Bufrita evento sur la aparato ankaŭ ne estas pruvo de malproksima liverado, ĉar la protokolo povas ekzisti loke kaj neniam esti sendita. Kontrolu la ricevajn nombrilojn de la kolektanto antaŭ ol kulpigi la tunelon, ĉar malplena nombrilo estas alia konstato ol unu, kiu kreskas.

Generita mesaĝo ne estas plusendita trafiko

Kiam ASA generas paketon, ĝi ne prokuras LAN-gastiganton. La fonto venas de la elira interfaco aŭ de eksplicita fonta agordo, kaj la paketo eniras la saman vojserĉon kaj la samajn politikajn kontrolojn kiel ĉio alia, kion la aparato sendas. Tio signifas, ke la VPN-selektilo devas inkluzivi la adreson, kiun ASA efektive uzas, kaj tio ofte estas ĝia ekstera interfaco anstataŭ ena subreto.

Se la politiko protektas 10.20.0.0/24 kaj ASA uzas sian eksteran adreson kiel fonton, la protokola paketo aŭ eliras en klara teksto al kolektanto, kiun ĝi ne povas atingi, aŭ estas forĵetata. Ambaŭ rezultoj aspektas identaj de la flanko de la kolektanto. La sama rezonado validas por administra trafiko, kaj tial management-access estas aparta dezajna decido.

Kiun fonton ASA metas sur la draton

Trovu la fonton empirie, ne per supozo. Kapto sur la elira interfaco dum testa mesaĝo montras la faktan fonton kaj celon, kaj ĝi kostas malpli da tempo ol legi tri agordajn sekciojn. Komparu tiun adreson kun la loka selektilo de la tunelo.

Iuj eldonoj ebligas fiksi la protokolan fonton al interfaco, kaj la komanda referenco por via versio estas la aŭtoritato pri tio, ĉu tiu opcio ekzistas kaj kion ĝi ŝanĝas. Komando source-interface de alia Cisco-platformo ne estas aŭtomate valida sur ASA.

Se vi ŝanĝos la fonton, faru tion konscie kaj notu ĝin, ĉar la ACL-oj de la kolektanto kaj ajna korelacio bazita sur syslog dependas de ĝi.

Akkordu la selektilon kun la protokola fluo

Kiam la fonto estas konata, kontrolu tri aferojn laŭvice: la kripto-ACL aŭ politikan selektilon, kiu decidas, kiu trafiko estas interesa, la vojon, kiu decidas, kien la paketo iras, kaj ajnan NAT-regulon, kiu povus retajpi la fonton antaŭ ĉifrado. Paketo, kiu kongruas kun la vojo sed ne kun la selektilo, ne estas tunelata, kaj paketo retajpita de NAT eble kongruas kun neniu el ili.

La flanko de la kolektanto havas proprajn postulojn: ACL permesanta la fonton de ASA, revena vojo kaj aŭskultanta servo sur la pordo, kiun vi agordis. Transporto gravas ankaŭ ĉi tie, ĉar TCP kaj TLS-protokolado kondutas alie ol UDP sur parte blokita vojo. Ŝanĝu unu elementon samtempe, alie la sekva kapto ne diros al vi, kiu ŝanĝo gravis.

Kontrolu ĉe la kolektanto, poste notu la fonton

Konfirmu, ke la mesaĝo alvenas, poste notu la fontan adreson, kiun ASA uzis, la selektilon, kiu portis ĝin, kaj la severecon, per kiu vi testis.

Tiu noto igas la sekvan ACL-ŝanĝon de la kolektanto aŭ selektilan redakton dutempa kontrolo anstataŭ reeltrovado. Ĝi ankaŭ dokumentas, kiu el la du fluoj iam estis validigita, kaj ĝuste tiun parton plej multaj gvidlibroj preterlasas. Se la mesaĝo ankoraŭ ne alvenas, malaltigu la severecon sojlon portempe kaj testu kontraŭ unu sola celo.

La oftaj demandoj pri ASA-protokolado de Cisco dokumentas kazon kun ekstera fonto, kiu bezonas la respondan difinon de protektita trafiko, kaj ĝia ekzemplo kun interna fonto inkluzivas kaj protokolan gastiganton ene kaj management-access ene. Traktu la dokumentitan kombinaĵon kaj la softvaran kuntekston kune, anstataŭ supozi, ke unu kopiita linio taŭgas por ĉiu agordo.

Tunelo, kiu portas LAN-trafikon, ne estas tunelo, kiu portas la propran voĉon de la fajroŝirmilo.