VPN tusken lokaasjes wurket, mar ASA-logs komme net: kontrolearje it boarneadres

Ynterne hosts berikke de fiere samler en har syslog-regels ferskine. De eigen berjochten fan de ASA oer deselde sesjes komme nea oan. Der is neat mis mei de samler of mei de tunnel, en dat is it ferwarrjende part. De firewall stjoert syn logs fan in boarne dy’t de tunnel nea boud wie om te beskermjen.

Wat oankomt en wat net

Begjin mei twa streamen te skieden dy’t op in dashboard identyk lykje. Trochstjoerd ferkear giet troch de ASA: in LAN-host stjoert nei de samler, de ASA ferliket it mei it tunnelbelied, fersifere it, en de samler sjocht it adres fan de host. Generearre ferkear begjint op de ASA sels: it kastke bout in syslog-pakket, kiest in útgongsynterface en boarne en freget pas dêrnei oft der in tunnelbelied past. De earste stream bewiist dat de tunnel wurket, en seit neat oer de twadde.

In buffere barren op it apparaat is ek gjin bewiis fan ferstjoering op ôfstân, want it log kin lokaal bestean en nea ferstjoerd wêze. Kontrolearje de ûntfangsttellers fan de samler foardat jo de tunnel de skuld jouwe, want in lege teller is in oare befinning as ien dy’t groeit.

In generearre berjocht is gjin trochstjoerd ferkear

As de ASA sels in pakket generearret, is hy net oan it proxyen foar in LAN-host. De boarne komt fan de útgongsynterface of fan in eksplisite boarne-ynstelling, en it pakket giet troch deselde rûtesyk en deselde beliedskontrôles as alles oars dat it kastke stjoert. Dat betsjut dat de VPN-selektor it adres befetsje moat dat de ASA eins brûkt, en dat is faak syn bûtenynterface ynstee fan in ynterne subnet.

As it belied 10.20.0.0/24 beskermet en de ASA brûkt syn bûtenadres as boarne, dan giet it logpakket of yn iepen tekst nei in samler dy’t it net berikke kin, of it wurdt weilitten. Beide útkomsten lykje fan de kant fan de samler identyk. Deselde redenaasje jildt foar behearferkear, en dêrom is management-access in apart ûntwerpbeslút.

Hokker boarne de ASA op ’e tried set

Fyn de boarne empirysk ynstee fan troch oanname. In opname op de útgongsynterface by in testberjocht lit de werklike boarne en bestimming sjen, en it kostet minder tiid as it lêzen fan trije konfiguraasje-ôfdielingen. Ferliket dat adres mei de lokale selektor fan de tunnel.

Guon ferzjes litte jo de logboarne oan in interface fêstsette, en de kommandoreferinsje foar jo ferzje is it gesach oer oft dy opsje bestiet en wat dy feroaret. In source-interface-kommando fan in oar Cisco-platfoarm is net automatysk jildich op in ASA.

As jo de boarne wol feroarje, doch it dan bewust en notearje it, want ACL’s fan de samler en alle korrelaasje boud op syslog hingje derfan ôf.

Pas de selektor oan de logstream oan

Sadree’t de boarne bekend is, kontrolearje trije dingen yn folchoarder: de krypto-ACL of it beliedsbasearre selektor dat beslút hokker ferkear nijsgjirrich is, de rûte dy’t beslút wêr’t it pakket hinne giet, en elke NAT-regel dy’t de boarne foar fersifering oanskriuwe kin. In pakket dat by de rûte past mar net by de selektor, wurdt net troch de tunnel stjoerd, en in pakket dat troch NAT oanskreaun is, kin by gjin fan beide passe.

De kant fan de samler hat eigen easken: in ACL dy’t de boarne fan de ASA tastean, in weromrûte en in harkjende tsjinst op de poarte dy’t jo konfigurearre hawwe. Ferfier is hjir ek fan belang, want TCP- en TLS-logging hâlde har oars as UDP op in foar in part blokkearre paad. Feroarje ien elemint tagelyk, oars sil de folgjende opname jo net fertelle hokker feroaring der ta die.

Ferifiearje by de samler en notearje dan de boarne

Befêstigje dat it berjocht oankomt, skriuw dan it boarneadres op dat de ASA brûkte, it selektor dat it droech en de earnst wêrmei’t jo testen.

Dat ferslach makket de folgjende ACL-feroaring of selektorbewurking fan de samler in kontrôle fan twa minuten ynstee fan in nije ûntdekking. It dokumintearret ek hokker fan de twa streamen ea falidearre is, en dat is it diel dat de measte runbooks weilitte. As it berjocht noch net oankomt, ferleegje tydlik de earnstgrins en test tsjin ien bestimming.

De FAQ oer ASA-logging fan Cisco dokumintearret in gefal mei in bûtenboarne dat de byhearrende definysje fan beskerme ferkear nedich hat, en syn foarbyld mei in ynterne boarne omfettet sawol in loghost oan de binnenkant as management-access oan de binnenkant. Behannele de dokumintearre kombinaasje en de softwarekontekst tegearre ynstee fan oan te nimmen dat ien kopiearre rigel by elke konfiguraasje past.

In tunnel dy’t LAN-ferkear draacht, is net in tunnel dy’t de eigen stim fan de firewall draacht.