Guneen arteko VPNak funtzionatzen du, baina ASAren erregistroak ez dira iristen: egiaztatu iturriaren helbidea

Barneko ostalariek urruneko biltzailea lortzen dute eta haien syslog lerroak agertzen dira. ASAren beraren mezuak saio berberei buruz ez dira inoiz iristen. Ez dago ezer gaizki biltzailearekin edo tunelarekin, eta hori da nahasgarria dena. Suebakiak bere erregistroak inoiz babesteko eraiki ez zen iturri batetik bidaltzen ditu.

Zer iristen den eta zer ez

Hasi panelean berdin ikusten diren bi fluxu bereizten. Birbidalitako trafikoak ASA zeharkatzen du: LAN ostalari batek biltzailera bidaltzen du, ASAk tunelaren politikarekin parekatzen du, zifratzen du, eta biltzaileak ostalariaren helbidea ikusten du. Sortutako trafikoa ASAn bertan hasten da: gailuak syslog pakete bat eraikitzen du, irteera interfaze bat eta iturri bat aukeratzen ditu, eta gero soilik galdetzen du ea tunel politikaren bat datorren. Lehen fluxuak tunelak funtzionatzen duela frogatzen du, eta ez du ezer esaten bigarrenaz.

Gailuan bufferatutako gertaera bat ere ez da urruneko entrega frogatzen duen ebidentzia, erregistroa lokalki egon baitaiteke eta inoiz bidali gabe. Egiaztatu biltzailearen harrera-kontagailuak tunela erruduntzat jo aurretik, kontagailu hutsa hazten ari den beste bat ez bezalako aurkikuntza baita.

Sortutako mezua ez da birbidalitako trafikoa

ASAk pakete bat sortzen duenean, ez dabil LAN ostalari baten proxya egiten. Iturria irteerako interfazetik edo iturri-ezarpen esplizitu batetik dator, eta paketeak gailuak bidaltzen duen beste edozein gauzak bezalako ibilbide-bilaketa eta politika-egiaztapen berdinak egiten ditu. Horrek esan nahi du VPN hautatzaileak ASAk benetan erabiltzen duen helbidea barne hartu behar duela, eta hori maiz bere kanpoko interfazea da, ez barneko azpisare bat.

Politikak 10.20.0.0/24 babesten badu eta ASAk bere kanpoko helbidea erabiltzen badu iturri gisa, erregistro paketea edo testu hutsean irteten da iristeko gai ez den biltzaile baterantz, edo baztertua izaten da. Bi emaitzak berdinak dirudite biltzailearen aldetik. Arrazoibide berak kudeaketa trafikoari ere eragiten dio, eta horregatik management-access diseinu-erabaki bereizia da.

Zein iturri jartzen duen ASAk sarean

Aurkitu iturria enpirikoki, ez hipotesi bidez. Probako mezu batean irteera interfazean egindako kapturak benetako iturria eta helmuga erakusten ditu, eta hiru konfigurazio atal irakurtzea baino denbora gutxiago kostatzen du. Alderatu helbide hori tunelaren tokiko hautatzailearekin.

Bertsio batzuek erregistroaren iturria interfaze batera ainguratzea ahalbidetzen dute, eta zure bertsioaren komando-erreferentzia da autoritatea aukera hori badagoen eta zer aldatzen duen erabakitzeko. Beste Cisco plataforma bateko source-interface komandoa ez da automatikoki baliozkoa ASAn.

Iturria aldatzen baduzu, egin ezazu hori nahita eta idatz ezazu, biltzailearen ACLak eta syslogean oinarritutako edozein korrelazio haren mende baitaude.

Egokitu hautatzailea erregistro fluxuarekin

Iturria ezagutzen denean, egiaztatu hiru gauza ordenan: zein trafiko den interesgarria erabakitzen duen kripto ACL edo politikan oinarritutako hautatzailea, paketea nora doan erabakitzen duen ibilbidea, eta zifratu aurretik iturria berridatz dezakeen NAT araua. Ibilbidearekin bat egiten duen baina hautatzailearekin bat egiten ez duen paketea ez da tunelatzen, eta NATek berridatzitako paketea agian ez da batere bateragarria.

Biltzailearen aldeak bere eskakizunak ditu: ASAk duen iturria onartzen duen ACL bat, itzulera ibilbide bat eta konfiguratu duzun atakan entzuten duen zerbitzu bat. Garraioak hemen ere badu garrantzia, TCP eta TLS erregistroak UDP ez bezala jokatzen baitu partzialki blokeatutako bide batean. Aldatu elementu bat aldi berean, bestela hurrengo kapturak ez dizu esango zein aldaketak izan zuen garrantzia.

Egiaztatu biltzailean, gero idatz ezazu iturria

Berretsi mezua iristen dela, gero idatz itzazu ASAk erabilitako iturri helbidea, bidali zuen hautatzailea eta proba egin zenuen larritasuna.

Erregistro horrek biltzailearen hurrengo ACL aldaketa edo hautatzailearen edizioa bi minutuko egiaztapen bihurtzen du berriro aurkitu beharrean. Bi fluxuetatik zein baliozkotu zen inoiz ere dokumentatzen du, eta hori da runbookek gehien uzten duten zatia. Mezua oraindik iristen ez bada, jaitsi aldi baterako larritasun atalasea eta probatu helmuga bakarrean.

Ciscoren ASA erregistratzeari buruzko ohiko galderak kanpo iturria duen kasu bat dokumentatzen du, kasuak babestutako trafikoaren definizio egokia behar du, eta haren barne iturriko adibideak barnean erregistro ostalari bat eta barnean management-access biltzen ditu. Dokumentatutako konbinazioa eta software testuingurua elkarrekin tratatu, kopia tutako lerro bat konfigurazio guztietara egokitzen dela suposatu beharrean.

LAN trafikoa daraman tunel bat ez da suebakiaren beraren ahotsa daraman tunela.