Kohadevaheline VPN töötab, kuid ASA logid ei jõua kohale: kontrollige lähteaadressi

Sisevõrgu hostid jõuavad kaugkogujani ja nende syslog-read ilmuvad. ASA enda teated samade seansside kohta ei jõua kunagi kohale. Kogujaga ega tunneliga pole midagi valesti, ja just see ongi segane. Tulemüür saadab oma logisid allikast, mille kaitsmiseks tunnelit kunagi ei ehitatud.

Mis kohale jõuab ja mis mitte

Alustage kahe voo eraldamisest, mis armatuurlaual näivad identsed. Edastatud liiklus läbib ASA: LAN-host saadab kogujale, ASA sobitab selle tunneli poliitikaga, krüpteerib ja koguja näeb hosti aadressi. Loodud liiklus algab ASA enda peal: seade koostab syslog-paketi, valib väljundliidese ja allika ning küsib alles siis, kas mõni tunneli poliitika sobib. Esimene voog tõestab, et tunnel töötab, ja teise kohta ei ütle see midagi.

Seadmes puhverdatud sündmus ei ole samuti tõend kaugkohaletoimetamise kohta, sest logi võib olla kohalikult olemas ja mitte kunagi saadetud. Kontrollige koguja vastuvõtuloendureid enne tunneli süüdistamist, sest tühi loendur on teine leid kui kasvav loendur.

Loodud teade ei ole edastatud liiklus

Kui ASA ise paketi loob, ei ole ta LAN-hosti puhverserver. Allikas tuleb väljundliidesest või selgesõnalisest allika seadest, ja pakett läbib sama marsruudiotsingu ja samad poliitikakontrollid nagu kõik muu, mida seade saadab. See tähendab, et VPN-selektor peab sisaldama aadressi, mida ASA tegelikult kasutab, ja see on sageli tema välimine liides, mitte sisemine alamvõrk.

Kui poliitika kaitseb 10.20.0.0/24 ja ASA kasutab allikana oma välimist aadressi, siis logipakett kas väljub avatekstina koguja poole, kuhu ta ei jõua, või visatakse ära. Mõlemad tulemused näevad koguja poolelt identsed välja. Sama loogika kehtib haldusliikluse kohta, mistõttu management-access on eraldi disainiotsus.

Millise allika ASA võrku paneb

Leidke allikas empiiriliselt, mitte oletuse teel. Testteate ajal väljundliidesel tehtud püük näitab tegelikku allikat ja sihtkohta ning võtab vähem aega kui kolme konfiguratsioonijaotise lugemine. Võrrelge seda aadressi tunneli kohaliku selektoriga.

Mõned versioonid lasevad logiallika liidese külge kinnitada, ja teie versiooni käsukirjeldus on autoriteet selle kohta, kas see valik on olemas ja mida see muudab. Teise Cisco platvormi source-interface käsk ei kehti ASA-l automaatselt.

Kui allikat siiski muudate, tehke seda teadlikult ja kirjutage see üles, sest koguja ACL-id ja igasugune syslogil põhinev korrelatsioon sõltuvad sellest.

Sobitage selektor logivooks

Kui allikas on teada, kontrollige kolme asja järjekorras: krüpto-ACL või poliitikapõhine selektor, mis otsustab, milline liiklus on huvitav, marsruut, mis otsustab, kuhu pakett läheb, ja iga NAT-reegel, mis võib allika enne krüpteerimist ümber kirjutada. Marsruudiga sobiv, kuid selektoriga mittesobiv pakett ei lähe tunnelisse, ja NAT-i ümber kirjutatud pakett ei pruugi sobida kummagagi.

Koguja poolel on omad nõuded: ACL, mis lubab ASA allikat, tagasitee ja kuulav teenus sadamas, mille konfigureerisite. Transport loeb ka siin, sest TCP ja TLS logimine käitub osaliselt blokeeritud teel teisiti kui UDP. Muutke korraga ühte elementi, muidu ei ütle järgmine püük, milline muudatus loeb.

Kontrollige koguja juures ja seejärel kirjutage allikas üles

Kinnitage, et teade jõuab kohale, seejärel kirjutage üles lähteaadress, mida ASA kasutas, selektor, mis selle edasi kandis, ja tõsidus, millega testisite.

See kirje muudab koguja järgmise ACL-muudatuse või selektori redigeerimise kaheminutiliseks kontrolliks taasavastamise asemel. See dokumenteerib ka, millist kahest voost on kunagi valideeritud, ja just selle osa jätavad enamik runbooke välja. Kui teade ikkagi kohale ei jõua, langetage tõsiduse lävend ajutiselt ja testige ühe sihtkoha vastu.

Cisco ASA logimise KKK dokumenteerib juhtumi, mille allikas on väline ja mis vajab vastavat kaitstud liikluse määratlust, ning selle sisemise allika näide hõlmab nii logihosti sees kui ka management-accessi sees. Käsitlege dokumenteeritud kombinatsiooni ja tarkvara konteksti koos, selle asemel et eeldada, et üks kopeeritud rida sobib igasse konfiguratsiooni.

LAN-liiklust kandev tunnel ei ole tunnel, mis kannab tulemüüri enda häält.