Miks ASA TACACS+ päringud teie filiaali VPN-tunnelist mööda lähevad

Filiaali tunnel töötab, kasutajad autentivad end kaugel TACACS+ serveris, ja tulemüüri enda sisselogimine aegub endiselt. Põhjus ei ole tunneli viga: LAN-to-LAN tunnel kannab liiklust, mis kattub tema selektoritega, ning haldusliiklus, mida ASA enda kohta genereerib, on eraldi voog oma lähteaadressiga. Enamik meeskondi avastab selle muutuste akna ajal, kui ainus administraatori konto on see, mis ebaõnnestub. Käsitlege ASA algatatud AAA seanssi voona, mille peate projekteerima, mitte juba toimiva ühenduvuse kõrvalmõjuna.

ASA on klient ja tema enda liiklus vajab oma teed

Kui tulemüür võtab ühendust TACACS+ serveriga, on tulemüür klient nagu iga teine, ainult et keegi ei konfigureerinud talle teadlikult marsruuti. Tema paketid pärinevad seadme liidese aadressilt, need genereeritakse lokaalselt, mitte ei edastata, ja neid tuleb marsruutida, tõlkida ja poliitikaga kaitsta täpselt nagu kasutajaliiklust. Kasutaja alamvõrku kaitsv kohast-kohta tunnel ei kaitse seda haldusallikat automaatselt, sest liikluse valik põhineb aadressidel, mitte kavatsusel.

Kirjutage üles aadress, mida server peaks nägema. Kui te ei suuda seda ühe lausega öelda, ei ole teil veel projekti.

Liides real aaa-server ei ole ehteks

ASA-l võtab hostikirje aaa-server sulgudes liidese seose ja Cisco AAA hosti käsureferents kirjeldab seda liidesena, kus autentimisserver asub. Just see seos seob päringu liidesega ja poliitikaga, mida see liides rakendab. Kui valite selle selle liidese järgi, mis vaatab internetti, või jätate alles selle, mis viimasest migratsioonist jäi, saate lähteaadressi, mille jaoks kaugserverit ja tunnelit kunagi ei ehitatud.

inside on õige vastus ainult siis, kui nimetatud liidesel on aadress, mida teie projekt kavatseb lähtekohana kasutada. Filiaali seadmes on see sageli nii; mitme privaatse segmendiga seadmes võib-olla mitte.

Seose muutmine tähendab kirje uuesti loomist

Sama käsureferents dokumenteerib redigeerimispiirangu, mis tabab inimesi üleminekute ajal: olemasoleva hosti liidese muutmine nõuab hostikirje eemaldamist ja uuesti loomist. Redigeeritud välimusega konfiguratsioon ei pruugi olla jõustunud ja järgmine sisselogimiskatse väljub ikkagi vanalt aadressilt. Planeerige seda kustutamise ja lisamisena, originaalkirje koopia silme ees, mitte kohapealse nokitsemisena.

Kui servereid on määratud mitu, muutke ühte ja testige seda enne teistele puutumist, et viga ei lukustaks korraga kõiki haldusteid.

Kontrollige selektoreid, tõlget ja tagasiteed koos

Päringu kohalejõudmiseks peavad kolm asja kokku langema. Tunneli liiklusselektorid, või tunneliliidese kaitse, kui seda kasutate, peavad sisaldama ASA enda lähtekohta ja serveri aadressi; kasutaja alamvõrkude jaoks ehitatud selektorite loend seda tavaliselt ei tee. Iga NAT reegel teel peab seda lähtekohta järjekindlalt tõlkima, sest server autoriseerib võrguseadme identiteedi, mis sisaldab aadressi, mida ta näeb. Ja tagasitee peab olemas olema, mis poliitikapõhises tunnelis tähendab, et kaugotsal on vastassuunas sobiv selektor.

Serveri poolel kinnitage seadme identiteet, jagatud saladus ja halduspoliitika eraldi. TACACS+ hoiab autentimist, autoriseerimist ja arvestust eraldi toimingutena, seega pärast lõpetatud vahetust saabuv keeldumine on poliitika vastus, mitte transporditõrge. Kui loete seda võrguprobleemina, otsite valest kohast.

Hoidke saladus silumise ajal paketisalvestistest, piletitest ja transkriptsioonidest eemal, ja pidage meeles, et lähteaadress, mille server logib, on see, mida teie projekt peab selgitama.

Tehke muudatus end välja lukustamata

Kasutage konsooli või sõltumatut haldusteed kaugema haldusautentimise muutmise ajal, ja hoidke kinnitatud kohalikku varulahendust, kuni uus tee on kandnud tõelise sisselogimise. Seejärel valideerige kitsalt: üks server, üks seade, üks edukas autentimine, kus lähteaadress on nähtud mõlemas otsas.

Kirjutage voog eraldi lehele: lähteliides ja -aadress, kaugserver, kaitstud tee ja inimene, kellele autoriseerimispoliitika kuulub. Siis saab hilisemat liidese- või tunnelimuudatust hinnata, ilma et peaks arvama, millist kahest voost see mõjutab.