Milline ASA reegel näeb liiklust pärast seda, kui VPN selle dekrüpteerib

Esimene eeldus, millest tuleks loobuda, on see, et krüpto-ACL on juurdepääsupoliitika. See ei ole. Cisco ASA-l vastab see nimekiri ühele kitsale küsimusele: millised paketid väärivad kaitset, ja see vastus ei ütle midagi selle kohta, kas dekrüpteeritud pakett tohib jõuda tulemüüri taga oleva serverini. Juurdepääsu otsustatakse hiljem, liidese poliitikaga, grupi poliitika filtriga või mõlemaga, sõltuvalt sellest, kuidas tunnel ehitati.

Krüpto-ACL vastab teisele küsimusele

Krüpto-ACL on vaste nimekiri. See ütleb tunnelile, mida kahe osapoole vahel krüpteerida; pakett, mis sellega ei vasta, lihtsalt ei ole kaitstud. Selle laiendamine muudab kaitse ulatust ja mitte midagi muud.

Seetõttu võib alamvõrgu lisamine sinna tunneli üles tõsta, samal ajal kui tegelik rakendus ikka ei tööta. Tunnel on üleval, sest vaste on nüüd olemas. Rakendus ikka ei tööta, sest miski selles nimekirjas ei luba midagi. Kaks erinevat küsimust, kaks erinevat nimekirja.

Mida möödasõidu seade tegelikult vahele jätab

sysopt connection permit-vpn lubab kaitstud liiklusel vahele jätta liidese ACL kontrolli, mis muidu kehtiks sissetuleva poolel. See on VPN-i kasutuselevõttude jaoks mugavus ja see on globaalne. See ei puuduta grupipoliitikat ega puuduta kasutajapõhist autoriseerimisfiltrit.

Lugege tegelikku väärtust, mitte eeldust: show running-config all sysopt prindib seade ka siis, kui seda pole kunagi selgesõnaliselt seadistatud, ja just sealt algab palju segadust.

Kuna seade on globaalne, on selle testimine kiire katse korras ühel rikkis alamvõrgul halb vahetus. Iga teine tunnel sellel tulemüüril jagab tulemust. Hoidke see teadliku muudatuse jaoks, millel on tagasipööramise plaan.

Lugege filtrit dekrüpteerimise suunas

LAN-to-LAN vpn-filter kirjutatakse tunneli, mitte liidese vaatepunktist. Kaugvõrk läheb allika positsiooni ja kohalik võrk sihtkoha positsiooni, sest selline näeb pakett välja pärast dekrüpteerimist. Seejärel hinnatakse sama filtrit enne krüpteerimist uuesti vastassuunas, kusjuures aadresside rollid on vastupidised.

Porditingimused väärivad rohkem hoolt kui kopeeritud liidese ACL just sel põhjusel. Ühte sihtporti lubav reegel võib vastassuunas anda soovimatu tulemuse, kus uus ühendus kasutab seda porti allikana. Enne nimekirja koostamist kirjutage üles, milline pool tohib algatada, tegelik teenus ja vastaspool, mis peab suletuks jääma.

Kinnitage, milline filter on tegelikult külge pandud: show running-config group-policy ja show vpn-sessiondb detail l2l koos ütlevad, mida sessioon päris. ACL-i muutmine, millele ükski poliitika ei viita, ei muuda midagi.

Ärge kasutage ühte ACL objekti kahe töö jaoks

Liidese access-group ja vpn-filter näevad välja sama tüüpi objektid ja neid hinnatakse erinevates punktides erineva aadressi orientatsiooniga. Ühe nimekirja mõlemale määramine kutsub esile muudatuse, mis parandab tunneli ja lõdvendab vaikselt füüsilist liidest.

Hoidke need eraldi, nimetage need töö järgi ja laske suuna erinevus nimedes nähtavaks saada.

Kontrollige uute ühendustega, mõlemas suunas

Pärast kavandatud muudatust avage üks uus ühendus, mis peaks olema lubatud, ja üks uus ühendus, mis peaks olema keelatud, seejärel kirjutage aadressid, suund ja poliitika vaste koos tulemusega üles. Loodud sessioon ei tõesta uute ühenduste filtreerimise kohta midagi, sest see lubati juba vanade reeglite järgi.

Arvestage ka inspekteerimisega. Tootja dokumentatsioon märgib, et VPN-filter kontrollib algset ühendust, mitte iga teisest ühendust, mille inspekteerimismootor avab, seega võib juhtkanal ja sellega seotud meediavoog saada erineva kohtlemise. Kui rakendus tunneb protokolli, testige tegelikku voogu, mitte ühte pordiproovi.

Tunnel, mis muutub laia möödasõidu järel kasutatavaks, ütleb, et piirang eemaldati, mitte et see täideti. Tulemus, mida tasub hoida, on nimetatud jõustamispunkt, millele saate järgmisel ülevaatusel osutada.