Miks ASA kaugkasutaja jõuab alamvõrku, aga mitte rakenduseni
Marsruudid tõestavad, et tunnel töötab, mitte et kasutaja tohib rakenduse avada. Lugege filtrit, mille seanss sai, seejärel katsetage lubatud ja keelatud ühendust.
Teie kasutaja loob ühenduse, saab aadressi, pingib rakenduse alamvõrgus asuvat serverit ja ei saa ikka selle teenust avada. See kombinatsioon on ASA puhul tavaline, sest eduka tunneli ja kasutatava loa otsustavad erinevad seaded. Jagatud tunneli nimekiri valis, millised sihtkohad tunnelisse läksid; VPN-filter ja sihtkoha enda juurdepääsureeglid otsustavad, mida dekrüpteeritud päring võib saavutada. Käige kolm otsust järjekorras läbi, selle asemel et marsruutide nimekirja laiendada, kuni midagi muutub.
Kolm otsust, mida on lihtne segi ajada
Lubamine vastab, kas kasutaja tohib üldse tunnelit luua: volitused, sertifikaat ja mis tahes teine tegur. Marsruudi valik vastab, milliseid sihtkohti klient sellesse tunnelisse saadab. Autoriseerimine vastab, kas dekrüpteeritud päring tohib teenust saavutada. Ainult kolmas tekitab vea, millest kasutaja teatab.
Kiire viis neid eristada on küsida, mida muudatus lõhuks. Marsruudi eemaldamine jagatud nimekirjast peatab liikluse sellesse alamvõrku ilma midagi lubamata; ACE lisamine VPN-filtrile annab sihtkoha ilma muutmata, mida klient tunnelisse saadab.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Lugege filtrit, mille seanss tegelikult sai
Alustage elavast seansist, mitte seadistusest, mis teie arvates kehtib. show vpn-sessiondb detail anyconnect trükib määratud grupipoliitika ja sellele seansile kinnitatud filtri nime. Kui väli on tühi, ei rakenda ükski filter midagi ja blokeering tuleb mujalt.
Seejärel lugege poliitikat, millele väärtus kuulub, sealhulgas vaikeväärtusi, sest filter võib olla päritud, mitte sinna kirjutatud, kus te vaatate:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Võrrelge seansi filtri nime ACL-iga, mida just muutsite. Sarnase nimega ACL, mida kasutaja kunagi ei saanud, ei saa selle seansi ressursipoliitikat muuta, ja see on kõige tavalisem põhjus, miks õigesti näiv muudatus ei mõju.
Prioriteet selgitab ülejäänu. Filtri seade puhul on DAP-kirjel suurem prioriteet kui kasutajanime atribuutidel, ja kasutajanime atribuutidel suurem prioriteet kui grupipoliitikal. Kui seanss näitab filtrit, mida te ei oodanud, otsige enne grupi puutumist sellele kasutajale vastavat DAP-poliitikat.
Jagatud nimekiri ja filter on eraldi väljad
ASA 9.x puhul hoiab grupipoliitika split-tunnel-network-list ja vpn-filter erinevate seadetena ning grupipoliitikate juhend 9.22 dokumenteerib need just sel põhjusel eraldi. Võrgunimekiri on kliendile marsruutimise vihje; filter on juurdepääsukontrolli nimekiri, mida rakendatakse dekrüpteeritud liiklusele.
See vahe on oluline, kui kasutajal on alamvõrgus vaja ühte HTTPS-teenust. Pange alamvõrk jagatud nimekirja, et paketid tunnelisse jõuaksid, seejärel lubage filtris ainult see teenus. Marsruutide nimekirja laiendamine ei autoriseeri midagi ja selle kitsendamine ei ole jõustamismehhanism.
Kontrollige, kas liidese ACL on üldse teel
Dekrüpteeritud kaugjuurdepääsu liiklus ei läbi alati välisliidese ACL-i nii, nagu inimesed eeldavad. Kui sysopt connection permit-vpn on lubatud, rakendab ASA sellele liiklusele oma dokumenteeritud VPN-möödasõitu, samal ajal kui kohaldatavad VPN-filtrid kehtivad edasi. Kontrollige seadet käsuga show run all sysopt selle asemel et topoloogiajoonisest järeldada.
Mõlemal juhul jäävad sihtkoha hosti enda tulemüür ja rakenduse autoriseerimine teele. ASA reegel, mis lubab TCP 443, ei pane rakendust kasutajat vastu võtma.
Nõustuge muudatusega ka keelatud ühenduse korral
Ainuüksi lubatud katse tõestab väga vähe, sest töötav tunnel tekitab sama esimese paketi olenemata sellest, kas filter on olemas. Avage kavandatud teenus kliendist, seejärel proovige sihtkohta, mis peaks suletuks jääma, ja kinnitage, et see ebaõnnestub õigel põhjusel.
Sulgedes pileti, kirjutage üles neli fakti: lubatud identiteet, poliitika ja filter, mille seanss tegelikult sai, sihtkohad jagatud nimekirjas ja ressurss, millele kasutajal oli lubatud jõuda. Need neli selgitavad, kus liiklust juhitakse, ilma et marsruutide nimekiri muutuks tulemüüriks.
Kui teenus keeldub endiselt pärast seda, kui filter selle lubab, liikuge hosti juurde: kuulamisadress, hosti tulemüür ja rakenduse enda kasutajate vastendamine. Tunnel tegi sel hetkel oma töö ja edasised ASA muudatused lisavad ainult riski.