ASA interfazearen segurtasun maila jasotzen al du VPN azpisare batek?

Norbaitek galdetzen du ea adarraren VPN azpisareak «segurtasun maila 0 edo 100» duen ASAn, eta galderak badu jada akatsa. Segurtasun maila interfaze lokal baten propietatea da eta interfazearen konfigurazioan 0tik 100era esleitzen da. Tunel bidez iristen den urruneko azpisare batek ez du bat ere lortzen, crypto map nola idatzita egon ere. Hori dela eta, galderak ez du erantzun numerikorik.

Hurrengo galdera praktikoa hobea da: zein politikak uzten du adarra zerbitzarira eta zeinek mantentzen du suebakitik beretik urrun. Bi erantzun dira, eta beheko prozedurak bereizten ditu.

Segurtasun mailak interfazeei dagokie

Exekutatu show running-config interface eta security-level ikusiko duzu interfaze fisiko edo VLAN interfaze bakoitzaren azpian, ez tunel taldearen edo crypto maparen azpian. Goitik beherako baimen lehenetsia interfaze horien artean ebaluatzen da, eta horregatik zenbakiak ikuskapenaren eta inplizitutako ACLaren portaera aldatzen du dagokion bidean.

Deszifratutako VPN fluxu batean, sarrera tunela amaitzen den outside interfazea da oraindik, eta irteera zerbitzarirako inside interfazea. Idatzi biak ezer ukitu aurretik. Urrats bakar horrek nahasmenaren zatirik handiena ezabatzen du, zalantza abstraktu bat interfaze pare bihurtzen baitu.

ACLaren saihesbideak muga izendatua du

sysopt connection permit-vpn da jendeak erdi gogoratzen duen ezarpena VPN trafikoak ACLak alde batera uzten dituela esaten duenean. Bai, VPN trafiko gisa sailkatzen den trafikoarentzat interfazearen ACLa saltatzen du, eta 9.x parametroen gidak interfazearen eta norabidearen arabera mugatzen du, salbuespen global bat aldarrikatu beharrean.

Egiaztatu zer dagoen konfiguratuta memoriatik arrazoitu aurretik:

• show running-config all sysopt balio eraginkorra ikusteko, lehenetsitakoak ez diren lerroak soilik ez.
• show running-config access-group zein ACL zein interfaze eta norabideri aplikatzen zaion ikusteko.
• show vpn-sessiondb detail l2l saioak benetan zein tunel talde eta iragazki erabiltzen dituen baieztatzeko.

Ezarpen hori desaktibatzea VPN sarbidea zorrozteko eragin handiko aldaketa da. VPN fluxu egoki bakoitza kanpoko ACLari berriro menperatzen dio, eta horrek normalean funtzionatzen duten tunelak apurtzen ditu galdetu zizuten adarrarekin zerikusirik ez duten moduetan.

Irakurri saioari lotutako iragazkia

Tunel bakoitzeko benetako kontrola VPN iragazkia da: talde politikak edo erabiltzaile-izenak erreferentziatutako ACL bat, deszifratzearen ondoren eta zifratzearen aurretik aplikatzen dena. Erabiltzaile mailako iragazkiak talde mailako balioa gainditzen du, beraz tunel talde bereko bi pertsonek sarbide eraginkor desberdina izan dezakete.

Baieztatu lehentasuna, suposatu beharrean. show running-config group-policy <name> taldearen balioa erakusten du, eta show running-config username <name> erabiltzaile bakoitzeko balio bat dagoen ala ez. Biak badaude, erabiltzailearen balioak irabazten du. Ondoren alderatu ACL horren sarrerak axola zaizun fluxuarekin, iragazkiak ebaluatzen duen norabidean.

Aplikazio zerbitzaria baimentzen duen iragazki batek ez dio ezer esaten kudeaketari buruz. Arau bereiziak dira bide bereizi batean.

Egiaztatu baimen bat eta ukapen bat

Packet-tracer da erabakia ikusteko modurik azkarrena, erabiltzaile batek jakinarazi zain egon gabe. Eman iezazkiozu deszifratutako aldeko fluxua eta utzi ACL, NAT eta ikuskapen etapak izendatzen.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Irakurri emaitzaren lerroa: paketea onartu edo baztertu zuen ACLaren izena ematen du.
3. Errepikatu kudeaketa helburuarekin inside interfazean eta baieztatu ukapen bat.
4. Errepikatu beste behin edozein aldaketaren ondoren, aurreko eta ondorengo egoerak biak erregistratuta gera daitezen.

Gero egiaztatu benetako trafikoarekin: adarretik aplikazio eskaera arrakastatsu bat eta ASArekiko SSH saiakera huts bat. Packet-tracerek bidea modelatzen du; zuzeneko fluxu batek frogatzen du modeloak bat egin zuela.

Itzuli funtzionatzen jarri zuen aldaketa

Konponbidea ACLaren saihesbidea desaktibatzea edo iragazki bat zabaltzea bazen, mantendu aurreko konfigurazioa. Aldaketaren aurretik gordetako show run kaptura bat nahikoa da kaltetutako objektuak leheneratzeko; ASA konfigurazioa lerroetan oinarritzen da, beraz atzeratzeak lerro zaharrak berriro sartzea esan nahi du, ez fitxategi bat leheneratzea.

Erregistratu interfaze bikotea, iragazki eraginkorra, packet-tracerretik ateratako ACLaren izena eta aldatu zenituen komando zehatzak. Erregistro horrek hurrengo berrikuspena bost minutuko egiaztapen bihurtzen du, konfiantza mailen inguruko beste eztabaida bat izan beharrean.