Toimipaikkojen välinen VPN toimii, mutta ASA:n lokit eivät tule perille: tarkista lähdeosoite

Sisäiset isännät tavoittavat etäkerääjän ja niiden syslog-rivit ilmestyvät. ASA:n omat viestit samoista istunnoista eivät koskaan saavu. Kerääjässä tai tunnelissa ei ole mitään vikaa, ja juuri se hämmentää. Palomuuri lähettää lokinsa lähteestä, jonka suojaamiseksi tunnelia ei koskaan rakennettu.

Mikä saapuu ja mikä ei

Aloita erottamalla kaksi virtaa, jotka näyttävät kojelaudalla identtisiltä. Välitetty liikenne kulkee ASA:n läpi: LAN-isäntä lähettää kerääjälle, ASA vertaa sitä tunnelikäytäntöön, salaa sen, ja kerääjä näkee isännän osoitteen. Tuotettu liikenne alkaa ASA:ssa itsessään: laite rakentaa syslog-paketin, valitsee lähtöliittymän ja lähteen ja kysyy vasta sitten, sopiiko jokin tunnelikäytäntö. Ensimmäinen virta todistaa, että tunneli toimii, eikä se kerro toisesta mitään.

Laitteelle puskuroitu tapahtuma ei sekään todista etätoimitusta, koska loki voi olla olemassa paikallisesti eikä sitä ole koskaan lähetetty. Tarkista kerääjän vastaanottolaskurit ennen kuin syytät tunnelia, koska tyhjä laskuri on eri havainto kuin kasvava.

Tuotettu viesti ei ole välitettyä liikennettä

Kun ASA tuottaa paketin itse, se ei välitä LAN-isäntää. Lähde tulee lähtöliittymästä tai nimenomaisesta lähdeasetuksesta, ja paketti kulkee samaan reittihakuun ja samoihin käytäntötarkistuksiin kuin kaikki muukin, mitä laite lähettää. Se tarkoittaa, että VPN-valitsimen on sisällettävä osoite, jota ASA todella käyttää, ja se on usein sen ulkoliittymä eikä sisäinen aliverkko.

Jos käytäntö suojaa 10.20.0.0/24:n ja ASA käyttää lähteenä ulkoista osoitettaan, lokipaketti joko lähtee selkokielisenä kohti kerääjää, jota se ei tavoita, tai se pudotetaan. Molemmat tulokset näyttävät kerääjän puolelta identtisiltä. Sama päättely koskee hallintaliikennettä, minkä vuoksi management-access on erillinen suunnittelupäätös.

Minkä lähteen ASA asettaa verkkoon

Selvitä lähde empiirisesti, ei olettamalla. Kaappaus lähtöliittymällä testiviestin aikana näyttää todellisen lähteen ja kohteen, ja se vie vähemmän aikaa kuin kolmen asetuskohdan lukeminen. Vertaa sitä osoitetta tunnelin paikalliseen valitsimeen.

Jotkin versiot sallivat lokilähteen kiinnittämisen liitäntään, ja versionsi komentoviite on valtuutettu kertomaan, onko tämä vaihtoehto olemassa ja mitä se muuttaa. Toisen Cisco-alustan source-interface-komento ei ole automaattisesti kelvollinen ASA:ssa.

Jos vaihdat lähteen, tee se tietoisesti ja kirjaa se, koska kerääjän ACL:t ja kaikki syslogiin perustuva korrelaatio riippuvat siitä.

Sovita valitsin lokivirtaan

Kun lähde on tiedossa, tarkista kolme asiaa järjestyksessä: salaus-ACL tai käytäntöpohjainen valitsin, joka päättää, mikä liikenne on kiinnostavaa, reitti, joka päättää mihin paketti menee, ja mikä tahansa NAT-sääntö, joka voi kirjoittaa lähteen uudelleen ennen salausta. Paketti, joka vastaa reittiä mutta ei valitsinta, ei kulje tunnelissa, ja NAT:n uudelleen kirjoittama paketti ei välttämättä vastaa kumpaakaan.

Kerääjän puolella on omat vaatimuksensa: ACL, joka sallii ASA:n lähteen, paluureitti ja kuunteleva palvelu portissa, jonka määritit. Siirto merkitsee tässäkin, koska TCP- ja TLS-lokitus käyttäytyy toisin kuin UDP osittain estetyllä polulla. Muuta yhtä elementtiä kerrallaan, muuten seuraava kaappaus ei kerro, mikä muutos merkitsi.

Vahvista kerääjällä ja kirjaa sitten lähde

Vahvista, että viesti saapuu, ja kirjoita sitten muistiin lähdeosoite, jota ASA käytti, valitsin, joka sen kuljetti, ja vakavuus, jolla testasit.

Se kirjaus tekee kerääjän seuraavasta ACL-muutoksesta tai valitsimen muokkauksesta kahden minuutin tarkistuksen uudelleen löytämisen sijaan. Se myös dokumentoi, kumpi kahdesta virrasta on koskaan validoitu, ja juuri sen osan useimmat runbookit jättävät pois. Jos viesti ei edelleenkään saavu, laske vakavuuskynnystä tilapäisesti ja testaa yhtä kohdetta vastaan.

Ciscos ASA-lokituksen UKK dokumentoi tapauksen, jossa lähde on ulkoinen ja joka tarvitsee vastaavan suojatun liikenteen määritelmän, ja sen sisäisen lähteen esimerkki sisältää sekä loki-isännän sisäpuolella että management-accessin sisäpuolella. Käsittele dokumentoitua yhdistelmää ja ohjelmistokontekstia yhdessä sen sijaan, että olettaisit yhden kopioidun rivin sopivan jokaiseen asetukseen.

Tunneli, joka kuljettaa LAN-liikennettä, ei ole tunneli, joka kuljettaa palomuurin omaa ääntä.