Quelle règle ASA voit le trafic après que le VPN l’a déchiffré

La première hypothèse à abandonner est que l’ACL crypto est une politique d’accès. Elle ne l’est pas. Sur un Cisco ASA, cette liste répond à une question étroite : quels paquets méritent une protection, et cette réponse ne dit rien sur la possibilité, pour le paquet déchiffré, d’atteindre le serveur derrière le pare-feu. L’accès se décide plus tard, par une politique d’interface, par un filtre de politique de groupe, ou par les deux, selon la façon dont le tunnel a été construit.

L’ACL crypto répond à une autre question

Une ACL crypto est une liste de correspondance. Elle indique au tunnel quoi chiffrer entre deux pairs ; un paquet qui n’y correspond pas n’est tout simplement pas protégé. L’élargir change la portée de la protection et rien d’autre.

C’est pourquoi y ajouter un sous-réseau peut faire monter un tunnel alors que l’application réelle échoue encore. Le tunnel monte parce qu’une correspondance existe désormais. L’application échoue encore parce que rien dans cette liste n’autorise quoi que ce soit. Deux questions différentes, deux listes différentes.

Ce que le réglage de contournement saute vraiment

sysopt connection permit-vpn permet au trafic protégé de sauter le contrôle ACL de l’interface qui s’appliquerait sinon du côté entrant. C’est une commodité pour les déploiements VPN, et elle est globale. Elle ne touche pas la politique de groupe et ne touche pas un filtre d’autorisation par utilisateur.

Lisez la valeur réelle plutôt que l’hypothèse : show running-config all sysopt affiche le réglage même lorsqu’il n’a jamais été configuré explicitement, et c’est là que commence une bonne partie de la confusion.

Comme le réglage est global, le tester comme expérience rapide sur un sous-réseau en panne est un mauvais échange. Tous les autres tunnels de ce pare-feu partagent le résultat. Gardez-le pour un changement délibéré avec un plan de retour arrière.

Lisez le filtre dans le sens déchiffré

Un vpn-filter LAN-to-LAN s’écrit du point de vue du tunnel, non de l’interface. Le réseau distant occupe la position source et le réseau local la position destination, car c’est à quoi ressemble le paquet après déchiffrement. Le même filtre est ensuite évalué de nouveau dans le sens opposé avant chiffrement, avec les rôles d’adresse inversés.

Les conditions de port méritent plus de soin qu’une ACL d’interface recopiée, précisément pour cette raison. Une règle autorisant un port de destination peut avoir un effet inattendu dans le sens inverse, où une nouvelle connexion utilise ce port comme source. Notez quel côté peut initier, le service réel et la contrepartie qui doit rester fermée avant de construire la liste.

Confirmez quel filtre est réellement attaché : show running-config group-policy et show vpn-sessiondb detail l2l indiquent ensemble ce dont la session a hérité. Modifier une ACL qu’aucune politique ne référence ne change rien.

Ne réutilisez pas un même objet ACL pour deux tâches

Une access-group d’interface et un vpn-filter ressemblent au même type d’objet et sont évalués à des points différents avec des orientations d’adresse différentes. Attribuer une seule liste aux deux invite à un changement qui répare le tunnel et relâche discrètement l’interface physique.

Gardez-les séparés, nommez-les selon leur tâche et laissez la différence de sens visible dans les noms.

Vérifiez avec de nouvelles connexions, dans les deux sens

Après un changement planifié, ouvrez une nouvelle connexion qui doit être autorisée et une nouvelle connexion qui doit être refusée, puis relevez les adresses, le sens et la correspondance de politique avec le résultat. Une session établie ne prouve rien sur le filtrage des nouvelles connexions, car elle a déjà été admise selon les anciennes règles.

Tenez compte aussi de l’inspection. La documentation de l’éditeur note qu’un filtre VPN contrôle la connexion initiale et non chaque connexion secondaire ouverte par un moteur d’inspection, si bien qu’un canal de contrôle et son flux média associé peuvent recevoir un traitement différent. Si l’application connaît le protocole, testez le flux réel plutôt qu’une sonde de port unique.

Un tunnel qui devient utilisable après un contournement large indique que la restriction a été supprimée, non qu’elle a été respectée. Le résultat qu’il vaut la peine de conserver est un point d’application nommé que vous pourrez désigner lors de la prochaine revue.