Qué regla del ASA ve el tráfico después de que el VPN lo descifra

La primera suposición que hay que descartar es que la ACL de criptografía sea una política de acceso. No lo es. En un Cisco ASA, esa lista responde a una pregunta muy concreta: qué paquetes merecen protección, y esa respuesta no dice nada sobre si el paquete descifrado puede llegar al servidor detrás del firewall. El acceso se decide más adelante, mediante una política de interfaz, un filtro de política de grupo o ambos, según cómo se haya construido el túnel.

La ACL de criptografía responde a otra pregunta

Una ACL de criptografía es una lista de coincidencias. Le dice al túnel qué cifrar entre dos pares; un paquete que no coincide simplemente no queda protegido. Ampliarla cambia el alcance de la protección y nada más.

Por eso añadir una subred ahí puede levantar un túnel mientras la aplicación real sigue fallando. El túnel está arriba porque ahora existe una coincidencia. La aplicación sigue fallando porque nada en esa lista permite nada. Dos preguntas distintas, respondidas por dos listas distintas.

Qué se salta realmente el ajuste de omisión

sysopt connection permit-vpn permite que el tráfico protegido se salte la comprobación de la ACL de interfaz que de otro modo se aplicaría en el lado de entrada. Es una comodidad para despliegues de VPN y es global. No toca la política de grupo ni toca un filtro de autorización por usuario.

Lea el valor real en lugar de la suposición: show running-config all sysopt imprime el ajuste incluso cuando nunca se configuró de forma explícita, y ahí es donde empieza mucha confusión.

Como el ajuste es global, probarlo como experimento rápido en una subred que falla es un mal intercambio. Todos los demás túneles de ese firewall comparten el resultado. Guárdelo para un cambio deliberado con un plan de reversión.

Lea el filtro en la dirección descifrada

Una vpn-filter LAN-to-LAN se escribe desde el punto de vista del túnel, no de la interfaz. La red remota va en la posición de origen y la red local en la de destino, porque así es como se ve el paquete después del descifrado. El mismo filtro se evalúa luego otra vez en la dirección opuesta antes del cifrado, con los papeles de las direcciones invertidos.

Las condiciones de puerto merecen más cuidado que una ACL de interfaz copiada justo por ese motivo. Una regla que permite un puerto de destino puede tener un efecto no deseado en la dirección inversa, donde una conexión nueva usa ese puerto como origen. Anote qué lado puede iniciar, el servicio real y la contraparte que debe permanecer cerrada antes de construir la lista.

Confirme qué filtro está realmente asociado: show running-config group-policy y show vpn-sessiondb detail l2l juntos indican qué heredó la sesión. Editar una ACL a la que ninguna política hace referencia no cambia nada.

No reutilice un solo objeto ACL para dos trabajos

Una access-group de interfaz y una vpn-filter parecen el mismo tipo de objeto y se evalúan en puntos distintos con orientaciones de dirección distintas. Asignar una lista a ambas invita a un cambio que arregla el túnel y afloja en silencio la interfaz física.

Manténgalas separadas, nómbrelas por su trabajo y haga visible la diferencia de dirección en los nombres.

Verifique con conexiones nuevas, en ambas direcciones

Tras un cambio planificado, abra una conexión nueva que deba permitirse y otra que deba denegarse, y luego anote las direcciones, la dirección y la coincidencia de política junto con el resultado. Una sesión establecida no demuestra nada sobre el filtrado de conexiones nuevas, porque ya fue admitida con las reglas antiguas.

Cuente también con la inspección. La documentación del fabricante señala que un filtro VPN comprueba la conexión inicial y no cada conexión secundaria que abre un motor de inspección, así que un canal de control y su flujo de medios asociado pueden recibir un trato distinto. Si la aplicación conoce el protocolo, pruebe el flujo real en lugar de una sola sonda de puerto.

Un túnel que se vuelve utilizable tras una omisión amplia le dice que la restricción se eliminó, no que se cumplió. El resultado que vale la pena conservar es un punto de aplicación con nombre al que pueda señalar en la próxima revisión.