Miksi ASA:n TACACS+-pyynnöt ohittavat sivuliikkeen VPN-tunnelin

Sivuliikkeen tunneli on pystyssä, käyttäjät todentuvat etäälle TACACS+-palvelimelle, ja palomuurin oma kirjautuminen silti aikakatkeaa. Syy ei ole tunnelin virhe: LAN-to-LAN-tunneli kuljettaa liikennettä, joka osuu sen valitsimiin, ja hallintaliikenne, jota ASA tuottaa itsestään, on erillinen virtaus omalla lähdeosoitteellaan. Useimmat tiimit löytävät tämän muutosikkunan aikana, kun ainoa ylläpitäjätili on se, joka epäonnistuu. Käsittele ASA:n käynnistämää AAA-istuntoa virtauksena, joka sinun on suunniteltava, ei jo toimivan yhteyden sivuvaikutuksena.

ASA on asiakas, ja sen oma liikenne tarvitsee oman polkunsa

Kun palomuuri ottaa yhteyttä TACACS+-palvelimeen, palomuuri on asiakas kuin mikä tahansa muu, paitsi että kukaan ei tarkoituksella määrittänyt sille reittiä. Sen paketit lähtevät laitteen liitäntäosoitteesta, ne luodaan paikallisesti eikä välitetä edelleen, ja ne on reititettävä, käännettävä ja suojattava käytännöllä aivan kuten käyttäjäliikenne. Käyttäjän aliverkkoa suojaava sivustojen välinen tunneli ei automaattisesti suojaa tätä hallintalähdettä, koska liikenteen valinta perustuu osoitteisiin eikä aikomukseen.

Kirjoita ylös osoite, jonka odotat palvelimen näkevän. Jos et voi sanoa sitä yhdellä rivillä, sinulla ei ole vielä suunnitelmaa.

aaa-server-rivin liitäntä ei ole koriste

ASA:ssa isäntätietue aaa-server ottaa sulkuihin liitäntäkytkennän, ja Ciscon AAA-isännän komentoviite kuvaa sen liitännäksi, jossa todennuspalvelin sijaitsee. Juuri tämä kytkentä sitoo pyynnön liitäntään ja siihen käytäntöön, jota liitäntä soveltaa. Jos sen valitsee sen liitännän mukaan, joka osoittaa internetiin, tai jättää sen, mitä viime siirrosta jäi, syntyy lähdeosoite, jota varten etäpalvelinta ja tunnelia ei koskaan rakennettu.

inside on oikea vastaus vain silloin, kun nimetty liitäntä pitää sisällään osoitteen, jota suunnitelmasi aikoo käyttää lähteenä. Sivuliikelaitteessa näin usein on; laitteessa, jossa on useita yksityisiä segmenttejä, ehkä ei.

Kytkennän muuttaminen tarkoittaa tietueen luomista uudelleen

Sama komentoviite dokumentoi muokkausrajoituksen, joka yllättää ihmiset siirtymien aikana: olemassa olevan isännän liitännän muuttaminen edellyttää isäntätietueen poistamista ja luomista uudelleen. Muokatulta näyttävä kokoonpano ei välttämättä ole tullut voimaan, ja seuraava kirjautumisyritys lähtee yhä vanhasta osoitteesta. Suunnittele se poistona ja lisäyksenä alkuperäisen tietueen kopio edessäsi, älä paikan päällä tehtävänä viilauksena.

Jos palvelimia on määritetty useita, muuta yhtä ja testaa se ennen kuin kosket muihin, jotta virhe ei lukitse kaikkia hallintapolkuja kerralla.

Tarkista valitsimet, käännös ja paluupolku yhdessä

Kolmen asian on sovittava, jotta pyyntö saapuu perille. Tunnelin liikennevalitsimien, tai tunneliliitännän suojauksen jos sellainen on käytössä, on sisällettävä ASA:n oma lähde ja palvelimen osoite; käyttäjien aliverkoille rakennettu valitsinluettelo ei yleensä tee sitä. Jokaisen polun NAT-säännön on käännettävä tämä lähde johdonmukaisesti, koska palvelin valtuuttaa verkkolaiteidentiteetin, joka sisältää sen näkemän osoitteen. Ja paluupolun on oltava olemassa, mikä käytäntöpohjaisessa tunnelissa tarkoittaa, että kaukopäässä on vastaava valitsin toiseen suuntaan.

Palvelimen puolella vahvista laiteidentiteetti, jaettu salaisuus ja hallintakäytäntö erikseen. TACACS+ pitää todentamisen, valtuutuksen ja kirjanpidon erillisinä toimintoina, joten hylkäys, joka saapuu valmiin vaihdon jälkeen, on käytännön vastaus eikä siirtovika. Sen lukeminen verkkohäiriönä lähettää sinut etsimään väärästä paikasta.

Pidä salaisuus poissa kaappauksista, tiketeistä ja litteroinneista vianetsinnän aikana, ja muista, että lähdeosoite, jonka palvelin kirjaa, on se, joka suunnitelmasi on selitettävä.

Tee muutos lukitsematta itseäsi ulos

Käytä konsolia tai riippumatonta hallintapolkua kun muutat etähallinnan todentamista, ja pidä hyväksytty paikallinen varasuunnitelma, kunnes uusi polku on kuljettanut oikean kirjautumisen. Validoi sitten kapeasti: yksi palvelin, yksi laite, yksi onnistunut todennus, jossa lähdeosoite on havaittu molemmissa päissä.

Kirjaa virtaus omalle sivulleen: lähtöliitäntä ja -osoite, etäpalvelin, suojattu polku ja henkilö, jolle valtuutuskäytäntö kuuluu. Silloin myöhempi liitäntä- tai tunnelimuutos voidaan arvioida arvaamatta, kumpaan kahdesta virtauksesta se vaikuttaa.