Zergatik ASAren TACACS+ eskaerek zure sukurtsaleko VPN tunela saihesten duten

Sukurtsaleko tunela martxan dago, erabiltzaileak urruneko TACACS+ zerbitzariaren aurka autentifikatzen dira, eta suebakiaren beraren saioa hasteak denbora-muga gainditzen jarraitzen du. Arrazoia ez da tuneleko akats bat: LAN-to-LAN tunel batek bere hautatzaileekin bat datorren trafikoa garraiatzen du, eta ASAk bere buruari buruz sortzen duen kudeaketa-trafikoa jatorrizko helbide propioa duen fluxu bereizia da. Talde gehienek aldaketa-leiho batean aurkitzen dute hau, administrazio-kontu bakarra huts egiten ari dena denean. ASAk abiatutako AAA saioa diseinatu behar duzun fluxu gisa hartu, jada funtzionatzen duen konektibitatearen albo-ondorio gisa beharrean.

ASA da bezeroa, eta bere trafikoak bere bidea behar du

Suebakiak TACACS+ zerbitzari batekin harremanetan jartzen denean, suebakia edozein bezeroren antzekoa da, inork nahita ibilbide bat konfiguratu ez dion salbu. Bere paketeak gailuko interfaze-helbide batetik sortzen dira, tokian bertan sortzen dira birbidali beharrean, eta erabiltzaileen trafikoa bezala bideratu, itzuli eta politikaz babestu behar dira. Erabiltzaileen azpisarea babesten duen gune arteko tunel batek ez du kudeaketa-jatorri hori automatikoki babesten, trafikoaren hautaketa helbideetan oinarritzen delako, eta ez asmoetan.

Idatzi zerbitzariak ikusiko duela espero duzun helbidea. Lerro bakarrean esan ezin baduzu, oraindik ez duzu diseinurik.

aaa-server lerroko interfazea ez da apaingarria

ASA-n, ostalari-sarrera aaa-server -k interfaze-elkarketa bat hartzen du parentesi artean, eta Cisco-ren AAA ostalari-komandoen erreferentzia -k autentifikazio-zerbitzaria dagoen interfaze gisa deskribatzen du. Elkarketa horrek lotzen du eskaera interfaze batekin eta interfaze horrek aplikatzen duen politikarekin. Internet aldera begira dagoen interfazearen arabera aukeratzeak, edo azken migrazioan zegoena uzteak, urruneko zerbitzaria eta tunela inoiz eraiki ez ziren jatorrizko helbide bat sortzen du.

inside erantzun zuzena da soilik aipatutako interfazeak zure diseinuak jatorri gisa erabili nahi duen helbidea daukanean. Sukurtsaleko gailu batean sarritan hala da; hainbat segmentu pribatu dituen gailu batean agian ez.

Elkarketa aldatzeak sarrera berriz sortzea esan nahi du

Komando-erreferentzia berberak migrazioetan jendea harrapatzen duen edizio-murrizketa bat dokumentatzen du: lehendik dagoen ostalari batean interfazea aldatzeak ostalari-sarrera kendu eta berriz sortzea eskatzen du. Editatuta dirudien konfigurazio batek agian ez du indarrean jarri, eta hurrengo saio-hasiera saiakerak helbide zaharretik irtengo du oraindik. Aurrean duzun jatorrizko sarrera baten kopia batekin ezabatu eta gehitu gisa planifikatu, eta ez tokian tokiko doikuntza gisa.

Zerbitzari batzuk definituta badaude, bat aldatu eta probatu besteak ukitu aurretik, akats batek administrazio-bide guztiak batera blokea ez ditzan.

Egiaztatu hautatzaileak, itzulpena eta itzulera-bidea elkarrekin

Hiru gauzak bat etorri behar dute eskaera iristeko. Tunelaren trafiko-hautatzaileek, edo tunel-interfazearen babesak bat erabiltzen baduzu, ASAk berak duen jatorria eta zerbitzariaren helbidea barne hartu behar dituzte; erabiltzaileen azpisareetarako eraikitako hautatzaile-zerrenda batek normalean ez du hori egingo. Bidean dagoen NAT arau orok jatorri hori modu koherentean itzuli behar du, zerbitzariak ikusten duen helbidea barne hartzen duen sare-gailuaren identitatea baimentzen duelako. Eta itzulera-bideak existitu behar du, eta horrek politikan oinarritutako tunel batean esan nahi du urruneko muturrak hautatzaile parekidea duela beste noranzkoan.

Zerbitzariaren aldean, egiaztatu bereizita gailuaren identitatea, sekretu partekatua eta administrazio-politika. TACACS+ -k autentifikazioa, baimena eta kontabilitatea eragiketa bereizi gisa mantentzen ditu, beraz trukea amaituta iristen den ukatze bat politikaren erantzuna da, eta ez garraio-hutsegitea. Sare-arazo gisa irakurtzeak leku okerrean bilatzera bidaltzen zaitu.

Mantendu sekretua kaptura, txartel eta transkripzioetatik kanpo arazketa egiten duzun bitartean, eta gogoratu zerbitzariak erregistratzen duen jatorrizko helbidea zure diseinuak azaldu behar duen helbidea dela.

Egin aldaketa zeure burua kanpoan utzi gabe

Erabili kontsola bat edo kudeaketa-bide independente bat urruneko administrazio-autentifikazioa aldatzen duzun bitartean, eta mantendu onartutako tokiko ordezko bat bide berriak benetako saio-hasiera bat eraman arte. Ondoren egiaztatu estu: zerbitzari bat, gailu bat, autentifikazio arrakastatsu bat jatorrizko helbidea bi muturretan ikusita.

Erregistratu fluxua bere orri propioan: jatorrizko interfazea eta helbidea, urruneko zerbitzaria, bide babestua eta baimen-politikaren jabea den pertsona. Orduan, geroko interfaze- edo tunel-aldaketa bat ebalua daiteke bi fluxuetatik zeini eragiten dion asmatu gabe.