Kas VPN-alqvõrk saab ASA-liidese turbetaseme?

Dekrüpteeritud VPN-alqvõrk ei päri kunagi liidese turbetaset. Kontrollige eraldi sysopt connection permit-vpn-i, grupi filtrit ja haldusjuurdepääsu.

Keegi küsib, kas haru VPN-alqvõrgul on ASA-l „turbetase 0 või 100“, ja küsimus sisaldab juba viga. Turbetase on kohaliku liidese omadus ja määratakse liidese konfiguratsioonis vahemikus 0 kuni 100. Tunneli kaudu saabuv kaugvõrk ei omanda seda, ükskõik kuidas crypto map on kirjutatud. Seetõttu ei ole küsimusel numbrilist vastust.

Praktiline järelküsimus on parem: milline poliitika lubab haru serverisse ja milline hoiab selle tulemüürist endast eemale. Need on kaks vastust ja alljärgnev protseduur eraldab need.

Turbetasemed kuuluvad liidestele

Käivitage show running-config interface ja näete security-level iga füüsilise või VLAN-liidese all, mitte tunneligrupi ega crypto map-i all. Vaikimisi luba kõrgemalt madalamale hinnatakse nende liideste vahel, mistõttu number muudab kontrolli ja kaudse ACL-i käitumist rajal, kuhu see kuulub.

Dekrüpteeritud VPN-voo puhul on sissepääs endiselt välimine liides, kus tunnel lõpeb, ja väljapääs on sisemine liides serveri suunas. Kirjutage mõlemad üles enne, kui midagi puutute. See üks samm kõrvaldab suurema osa segadusest, sest muudab abstraktse usaldusküsimuse liidesepaariks.

ACL-i möödasõidul on nimetatud piir

sysopt connection permit-vpn on säte, mida inimesed poolenisti mäletavad, kui ütlevad, et VPN-liiklus eirab ACL-e. See jätab tõepoolest vahele liidese ACL-i liikluse puhul, mis kvalifitseerub VPN-liikluseks, ja 9.x parameetrite juhend piirab seda liidese ja suuna kaupa, mitte ei kuuluta globaalset erandit.

Kontrollige, mis on konfigureeritud, enne kui mälu põhjal arutlete:

  • show running-config all sysopt tegeliku väärtuse nägemiseks, mitte ainult mittevaikimisi ridade nägemiseks.
  • show running-config access-group nägemiseks, milline ACL on rakendatud millisele liidesele ja suunale.
  • show vpn-sessiondb detail l2l kinnitamiseks, millist tunneligruppi ja filtrit seanss tegelikult kasutab.

Selle sätte väljalülitamine VPN-juurdepääsu karmistamiseks on suure mõjuga muudatus. See allutab uuesti iga kvalifitseeruva VPN-voo välimisele ACL-ile, mis tavaliselt rikub töötavaid tunneleid viisil, mis ei ole seotud haruga, mille kohta teilt küsiti.

Lugege seansiga seotud filtrit

Tegelik kontroll tunneli kaupa on VPN-filter: ACL, millele viitab grupi poliitika või kasutajanimi, rakendatakse pärast dekrüpteerimist ja enne krüpteerimist. Kasutajatasandi filter tühistab gruppitasandi väärtuse, seega võivad kahel samas tunneligrupis oleval inimesel olla erinevad tegelikud juurdepääsuõigused.

Kinnitage prioriteet, selle asemel et seda eeldada. show running-config group-policy <name> näitab grupi väärtust ja show running-config username <name> näitab, kas kasutajapõhine väärtus on olemas. Kui mõlemad on olemas, võidab kasutaja väärtus. Seejärel võrrelge selle ACL-i kirjeid vooga, mis teid huvitab, suunas, milles filter hindab.

Filter, mis lubab rakendusserverit, ei ütle halduse kohta midagi. Need on eraldi reeglid eraldi rajal.

Kontrollige ühte luba ja ühte keeldu

Packet-tracer on kiireim viis otsust näha, ootamata, kuni kasutaja sellest teatab. Andke sellele dekrüpteeritud poole voog ja laske sellel nimetada ACL-i, NAT-i ja kontrolli etapid, millest see läbib.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Lugege tulemuse rida: see nimetab ACL-i, mis paketi lubas või kõrvale heitis.
  3. Korrake haldussihtkohaga sisemisel liidesel ja kinnitage keeld.
  4. Korrake veel kord pärast iga muudatust, et oleksid kirjas nii enne kui ka pärast olek.

Seejärel kontrollige reaalse liiklusega: üks edukas rakenduse päring harust ja üks ebaõnnestunud SSH-katse ASA vastu. Packet-tracer modelleerib raja; elav voog tõestab, et mudel klappis.

Võtke tagasi muudatus, mis selle tööle pani

Kui parandus oli ACL-i möödasõidu väljalülitamine või filtri laiendamine, jätke eelmine konfiguratsioon alles. Enne muudatust salvestatud show run pilt mõjutatud objektidest on nende taastamiseks piisav; ASA konfiguratsioon on reaorientatsiooniga, seega tagasivõtmine tähendab vanade ridade uuesti sisestamist, mitte faili taastamist.

Pange kirja liidesepaar, tegelik filter, packet-traceri ACL-i nimi ja täpsed käsud, mida muutsite. See kirje muudab järgmise ülevaatuse viie minuti kontrolliks, mitte järjekordseks vaidluseks usaldustasemete üle.

Seotud artiklid