Saako VPN-aliverkko ASA-liitännän suojaustason?

Salattu VPN-aliverkko ei koskaan peri liitännän suojaustasoa. Tarkista sysopt connection permit-vpn, ryhmän suodatin ja hallintayhteys erikseen.

Joku kysyy, onko haarakonttorin VPN-aliverkolla ASA:ssa „suojaustaso 0 tai 100“, ja kysymys sisältää jo virheen. Suojaustaso on paikallisen liitännän ominaisuus, ja se annetaan liitännän määrityksessä välillä 0 ja 100. Tunnelin kautta saapuva etäverkko ei hanki sellaista, kirjoitettiinpa crypto map miten tahansa. Siksi kysymyksellä ei ole numeerista vastausta.

Käytännöllinen jatkokysymys on parempi: mikä käytäntö päästää haarakonttorin palvelimelle ja mikä pitää sen poissa itse palomuurista. Ne ovat kaksi vastausta, ja alla oleva menettely erottaa ne.

Suojaustasot kuuluvat liitännöille

Suorita show running-config interface, niin näet security-level jokaisen fyysisen liitännän tai VLAN-liitännän alla, et tunneliryhmän tai crypto mapin alla. Oletusarvoinen lupa korkeammasta matalampaan arvioidaan näiden liitäntöjen välillä, minkä vuoksi luku muuttaa tarkastuksen ja implisiittisen ACL:n toimintaa polulla, johon se kuuluu.

Salatussa VPN-virrassa sisääntulo on edelleen ulkoliitäntä, jossa tunneli päättyy, ja ulostulo on sisäliitäntä palvelinta kohti. Kirjoita molemmat muistiin ennen kuin kosket mihinkään. Se yksi vaihe poistaa suurimman osan sekaannuksesta, koska se muuttaa abstraktin luottamuskysymyksen liitäntäpariksi.

ACL:n ohituksella on nimetty raja

sysopt connection permit-vpn on asetus, jonka ihmiset muistavat puolittain sanoessaan, että VPN-liikenne jättää ACL:t huomiotta. Se todella ohittaa liitännän ACL:n liikenteeltä, joka täyttää VPN-liikenteen ehdot, ja 9.x:n parametriopas rajaa sen liitännän ja suunnan mukaan sen sijaan, että julistaisi yleisen poikkeuksen.

Tarkista, mitä on määritetty, ennen kuin päättelet muistista:

  • show running-config all sysopt nähdäksesi todellisen arvon, et vain oletusarvoista poikkeavat rivit.
  • show running-config access-group nähdäksesi, mikä ACL on käytössä milläkin liitännällä ja suunnalla.
  • show vpn-sessiondb detail l2l vahvistaaksesi, mitä tunneliryhmää ja suodatinta istunto todella käyttää.

Tämän asetuksen poistaminen käytöstä VPN-yhteyden tiukentamiseksi on muutos, jolla on laaja vaikutus. Se alistaa jokaisen kelvollisen VPN-virran uudelleen ulkoiselle ACL:lle, mikä yleensä rikkoo toimivia tunneleita tavoilla, joilla ei ole mitään tekemistä sen haarakonttorin kanssa, josta sinulta kysyttiin.

Lue istuntoon liitetty suodatin

Todellinen tunnelikohtainen hallinta on VPN-suodatin: ACL, johon ryhmäkäytäntö tai käyttäjänimi viittaa ja jota sovelletaan salauksen purkamisen jälkeen ja ennen salausta. Käyttäjätason suodatin ohittaa ryhmätason arvon, joten kahdella saman tunneliryhmän henkilöllä voi olla erilainen tehokas pääsy.

Vahvista ensisijaisuus sen sijaan, että olettaisit sen. show running-config group-policy <name> näyttää ryhmän arvon, ja show running-config username <name> näyttää, onko käyttäjäkohtainen arvo olemassa. Jos molemmat ovat olemassa, käyttäjän arvo voittaa. Vertaa sitten kyseisen ACL:n merkintöjä sinua kiinnostavaan virtaan siinä suunnassa, jossa suodatin arvioi.

Suodatin, joka sallii sovelluspalvelimen, ei kerro mitään hallinnasta. Ne ovat erillisiä sääntöjä erillisellä polulla.

Vahvista yksi lupa ja yksi hylkäys

Packet-tracer on nopein tapa nähdä päätös odottamatta, että käyttäjä raportoi sen. Anna sille salatun puolen virta ja anna sen nimetä ACL-, NAT- ja tarkastusvaiheet, joiden läpi se kulkee.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Lue tulosrivi: se nimeää ACL:n, joka salli tai hylkäsi paketin.
  3. Toista hallintakohteen kanssa sisäliitännällä ja vahvista hylkäys.
  4. Toista vielä kerran jokaisen muutoksen jälkeen, jotta sekä ennen että jälkeen -tilat kirjataan.

Vahvista sitten oikealla liikenteellä: yksi onnistunut sovelluspyyntö haarakonttorista ja yksi epäonnistunut SSH-yritys ASA:han. Packet-tracer mallintaa polun; elävä virta todistaa, että malli osui oikeaan.

Peru muutos, joka sai sen toimimaan

Jos korjaus oli ACL:n ohituksen poistaminen käytöstä tai suodattimen laajentaminen, säilytä edellinen määritys. Ennen muutosta tallennettu show run-kaappaus kohdeobjekteista riittää niiden palauttamiseen; ASA-määritys on rivipohjainen, joten palauttaminen tarkoittaa vanhojen rivien syöttämistä uudelleen, ei tiedoston palauttamista.

Kirjaa liitäntäpari, tehokas suodatin, packet-tracerista saatu ACL:n nimi ja täsmälliset komennot, jotka muutit. Tämä kirjaus muuttaa seuraavan tarkastelun viiden minuutin tarkistukseksi eikä uudeksi väittelyksi luottamustasoista.

Aiheeseen liittyvät artikkelit