Ĉu VPN-subreto ricevas la sekurecnivelon de ASA-interfaco?

Iu demandas, ĉu la VPN-subreto de la filio havas «sekurecnivelon 0 aŭ 100» sur la ASA, kaj la demando jam enhavas la eraron. Sekurecnivelo estas eco de loka interfaco, atribuata de 0 ĝis 100 en la interfaca agordo. Fora subreto venanta tra tunelo ne akiras unu, kiel ajn la crypto map estas skribita. Tial la demando havas neniun numeran respondon.

La praktika sekva demando estas pli bona: kiu politiko permesas la filion al la servilo, kaj kiu tenas ĝin for de la fajroŝirmilo mem. Tiuj estas du respondoj, kaj la proceduro sube apartigas ilin.

Sekurecniveloj apartenas al interfacoj

Rulu show running-config interface kaj vi vidos security-level sub ĉiu fizika aŭ VLAN-interfaco, ne sub la tunela grupo aŭ la crypto map. La defaŭlta permeso de pli alta al pli malalta estas taksata inter tiuj interfacoj, kaj tial la nombro ŝanĝas la konduton de inspektado kaj implica ACL sur la vojo al kiu ĝi apartenas.

Por malĉifrita VPN-fluo, la eniro restas la ekstera interfaco kie la tunelo finiĝas, kaj la eliro estas la interna interfaco al la servilo. Notu ambaŭ antaŭ ol tuŝi ion ajn. Tiu unu paŝo forigas la plejparton de la konfuzo, ĉar ĝi transformas abstraktan demandon pri fido en interfacan paron.

La ACL-preteriro havas nomatan limon

sysopt connection permit-vpn estas la agordo kiun homoj duone memoras kiam ili diras, ke VPN-trafiko ignoras ACL-ojn. Ĝi ja preterpasas la interfacan ACL por trafiko kvalifikanta kiel VPN-trafiko, kaj la parametra gvidilo por 9.x limigas ĝin laŭ interfaco kaj direkto anstataŭ deklari globalan escepton.

Kontrolu kio estas agordita antaŭ ol rezoni el memoro:

• show running-config all sysopt por vidi la efektivan valoron, ne nur la ne-defaŭltajn liniojn.
• show running-config access-group por vidi kiu ACL estas aplikata al kiu interfaco kaj direkto.
• show vpn-sessiondb detail l2l por konfirmi kiun tunelan grupon kaj filtrilon la seanco efektive uzas.

Malŝalti tiun agordon por plistreĉigi VPN-aliron estas ŝanĝo kun granda efiko. Ĝi resubmetas ĉiun kvalifikitan VPN-fluon al la ekstera ACL, kio kutime rompas funkciantajn tunelojn laŭ manieroj neligitaj al la filio pri kiu vi demandiĝis.

Legu la filtrilon ligitan al la seanco

La vera regado por tunelo estas la VPN-filtrilo: ACL al kiu referencas grupa politiko aŭ uzantnomo, aplikata post malĉifrado kaj antaŭ ĉifrado. Filtrilo je uzanta nivelo superregas la valoron je grupa nivelo, do du homoj en la sama tunela grupo povas havi malsaman efektivan aliron.

Konfirmu la prioritatecon anstataŭ supozi ĝin. show running-config group-policy <name> montras la grupan valoron, kaj show running-config username <name> montras ĉu ekzistas valoro por uzanto. Se ambaŭ ekzistas, la uzanta valoro gajnas. Poste komparu la erojn de tiu ACL kun la fluo kiu interesas vin, en la direkto kiun la filtrilo taksas.

Filtrilo kiu permesas la aplikaĵan servilon diras nenion pri administrado. Tiuj estas apartaj reguloj sur aparta vojo.

Kontrolu unu permeson kaj unu malpermeson

Packet-tracer estas la plej rapida maniero vidi la decidon sen atendi ke uzanto raportu ĝin. Donu al ĝi la fluon de la malĉifrita flanko kaj lasu ĝin nomi la ŝtupojn de ACL, NAT kaj inspektado kiujn ĝi trapasas.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Legu la rezultan linion: ĝi nomas la ACL kiu permesis aŭ forĵetis la paketon.
3. Ripetu kun la administra celo sur la interna interfaco kaj konfirmu malpermeson.
4. Ripetu ankoraŭfoje post ĉiu ŝanĝo, por ke kaj la antaŭa kaj la posta stato estu registritaj.

Poste kontrolu per reala trafiko: unu sukcesa aplikaĵa peto de la filio kaj unu malsukcesa SSH-provo al la ASA. Packet-tracer modelas la vojon; viva fluo pruvas ke la modelo kongruis.

Malfaru la ŝanĝon kiu igis ĝin funkcii

Se la solvo estis malŝalti la ACL-preteriron aŭ vastigi filtrilon, konservu la antaŭan agordon. Kaptaĵo show run de la tuŝitaj objektoj, konservita antaŭ la ŝanĝo, sufiĉas por restarigi ilin; la ASA-agordo estas liniorientita, do malfaro signifas reenigi la malnovajn liniojn, ne restarigi dosieron.

Registru la interfacan paron, la efektivan filtrilon, la ACL-nomon el packet-tracer kaj la precizajn komandojn kiujn vi ŝanĝis. Tiu registro transformas la sekvan revizion en kvimminutan kontrolon anstataŭ alian debaton pri fido-niveloj.