Zein ASA arauk ikusten du trafikoa VPNak deskriptatzen duenean

Baztertu beharreko lehen hipotesia kripto ACL bat sarbide-politika dela da. Ez da. Cisco ASA batean, zerrenda horrek galdera estu bati erantzuten dio: zein paketek merezi dute babesa, eta erantzun horrek ez du ezer esaten deskriptatutako paketea suebakiaren atzeko zerbitzarira irits daitekeen ala ez. Sarbideaz geroago erabakitzen da, interfaze-politika baten, talde-politikaren iragazki baten edo bien bidez, tunela nola eraiki zen arabera.

Kripto ACLak beste galdera bati erantzuten dio

Kripto ACL bat bat-etortze zerrenda da. Tunelari esaten dio zer enkriptatu bi kideren artean; harekin bat egiten ez duen paketea ez da babestuta geratzen. Hura zabaltzeak babesaren esparrua aldatzen du eta ez beste ezer.

Horregatik, han azpisare bat gehitzeak tunela altxarazi dezake aplikazioak berak huts egiten jarraitzen duen bitartean. Tunela altxatuta dago bat-etortze bat badelako orain. Aplikazioak huts egiten jarraitzen du zerrenda horretan ezerk ezer baimetzen ez duelako. Bi galdera desberdin, bi zerrenda desberdinen erantzunak.

Zer uzten duen benetan saihesteko ezarpenak

sysopt connection permit-vpn ezarpenak babestutako trafikoari sarrerako aldean bestela aplikatuko litzatekeen interfazearen ACL egiaztapena saihesteko aukera ematen dio. VPN inplementazioetarako erraztasuna da, eta globala da. Ez dio talde-politikari ukitzen, eta ez dio erabiltzaile bakoitzeko autorizazio-iragazkiari ukitzen.

Irakurri benetako balioa hipotesia beharrean: show running-config all sysopt ezarpena inprimatzen du inoiz modu esplizituan konfiguratu ez bada ere, eta hortik hasten da nahaste handia.

Ezarpena globala denez, huts egiten duen azpisare bakar batean proba azkar gisa frogatzea truke txarra da. Suebaki horretako beste tunel guztiek emaitza partekatzen dute. Gorde itzazu atzera-egiteko plana duen aldaketa kontziente baterako.

Irakurri iragazkia deskriptatze-norabidean

LAN-to-LAN vpn-filter tunelaren ikuspegitik idazten da, ez interfazearenetik. Urruneko sarea iturburuaren posizioan doa eta sare lokala helmugaren posizioan, horrela ikusten delako paketea deskriptatu ondoren. Gero iragazki bera berriro ebaluatzen da aurkako norabidean enkriptatu aurretik, helbideen rolak alderantziz jarrita.

Portuen baldintzek arreta handiagoa merezi dute kopiatutako interfaze-ACL batek baino, hain zuzen arrazoi horrengatik. Helmugako portu bat baimentzen duen arauak ustekabeko eragina izan dezake alderantzizko norabidean, non konexio berri batek portu hori iturburu gisa erabiltzen duen. Idatz ezazu zein aldek has dezakeen, benetako zerbitzua eta itxita egon behar duen kontrako aldea zerrenda eraiki aurretik.

Egiaztatu zein iragazki dagoen benetan erantsita: show running-config group-policy eta show vpn-sessiondb detail l2l elkarrekin esaten dizute zer heredatu duen saiokoak. Politikarik aipatzen ez duen ACL bat editatzeak ez du ezer aldatzen.

Ez berrerabili ACL objektu bat bi lanetarako

Interfazearen access-group bat eta vpn-filter bat objektu mota berekoak dirudite eta puntu desberdinetan ebaluatzen dira helbide-orientazio desberdinekin. Zerrenda bat biei esleitzeak tunela konpontzen duen eta interfaze fisikoa isilka lasaitzen duen aldaketa batera gonbidatzen du.

Eduki itzazu bereizita, izenda itzazu beren lanaren arabera, eta utzi norabidearen aldea izenetan ikusgai.

Egiaztatu konexio berriekin, bi norabideetan

Aldaketa planifikatu baten ondoren, ireki baimendu behar litzatekeen konexio berri bat eta ukatu behar litzatekeen beste konexio berri bat, eta gero idatz itzazu helbideak, norabidea eta politikaren bat-etortzea emaitzarekin batera. Ezarritako saio batek ez du ezer frogatzen konexio berrien iragazketaz, jadanik arau zaharren pean onartu zelako.

Kontuan hartu ikuskapena ere. Hornitzailearen dokumentazioak adierazten du VPN iragazki batek hasierako konexioa egiaztatzen duela, ikuskapen-motor batek irekitzen duen bigarren mailako konexio bakoitza ez bezala, beraz kontrol-kanal batek eta hari lotutako media-fluxuak tratamendu desberdina jaso dezakete. Aplikazioak protokoloa ezagutzen badu, proba ezazu benetako fluxua, portu-zunda bakar bat beharrean.

Saihesbide zabal baten ondoren erabilgarri bihurtzen den tunel batek muga kendu zela esaten dizu, ez bete zela. Gordetzea merezi duen emaitza hurrengo berrikuspenean seinalatu dezakezun betearazpen-puntu izendatu bat da.