Kriget in VPN-subnet it feiligensnivo fan de ASA-interface?

Immen freget oft it VPN-subnet fan ’e filiale op ’e ASA «feiligensnivo 0 of 100» hat, en de fraach befettet al de flater. Feiligensnivo is in eigenskip fan in lokale interface en wurdt yn ’e interface-konfiguraasje fan 0 oant 100 tawiisd. In ôfstân-subnet dat troch in tunnel komt, krijt der gjinien, hoe’t de crypto map ek skreaun is. Dêrom hat de fraach gjin numerysk antwurd.

De praktyske ferfolchfraach is better: hokker belied lit de filiale nei de server ta, en hokker hâldt it fan ’e firewall sels ôf. Dat binne twa antwurden, en de proseduere hjirûnder skiedt se.

Feiligensnivo’s hearre by interfaces

Fier show running-config interface út, en jo sille security-level ûnder elke fysike interface of VLAN-interface sjen, net ûnder de tunnelgroep of de crypto map. De standerttastimming fan heger nei leger wurdt tusken dy interfaces beoardiele, dêrom feroaret it getal it gedrach fan ynspeksje en ymplisite ACL op it paad dêr’t it by heart.

Foar in ûntsifere VPN-stream is de yngong noch altyd de outside-interface dêr’t de tunnel einiget, en de útgong is de inside-interface nei de server. Skriuw beide op foardat jo wat oanreitsje. Dy iene stap hellet it measte fan ’e betizing fuort, want it feroaret in abstrakte fertrouwensfraach yn in interfacepear.

De ACL-omgong hat in neamde grins

sysopt connection permit-vpn is de ynstelling dy’t minsken heal ûnthâlde as se sizze dat VPN-ferkear ACL’s negearret. It slacht yndie de interface-ACL oer foar ferkear dat as VPN-ferkear kwalifisearret, en de parameterhantlieding foar 9.x beheint it per interface en rjochting ynstee fan in globale útsûndering te ferklearjen.

Kontrolearje wat konfigurearre is foardat jo út it ûnthâld riddenearje:

• show running-config all sysopt om de wurklike wearde te sjen, net allinnich de net-standert rigels.
• show running-config access-group om te sjen hokker ACL op hokker interface en rjochting tapast wurdt.
• show vpn-sessiondb detail l2l om te befêstigjen hokker tunnelgroep en filter de sesje eins brûkt.

Dy ynstelling útskeakelje om VPN-toegang strakker te meitsjen is in feroaring mei grutte ynfloed. It ûnderwerpt elke kwalifisearjende VPN-stream wer oan ’e bûten-ACL, wat meastentiids wurkjende tunnels brekt op manieren dy’t neat mei de filiale te meitsjen hawwe dêr’t jo oer frege binne.

Lês it filter dat oan ’e sesje ferbûn is

De echte kontrôle per tunnel is it VPN-filter: in ACL dêr’t in groepsbelied of in brûkersnamme nei ferwiist, tapast nei ûntsifering en foar fersifering. In filter op brûkersnivo giet foar de wearde op groepsnivo, sadat twa minsken yn deselde tunnelgroep ferskillende effektive toegang hawwe kinne.

Befêstigje de foarrang ynstee fan it oan te nimmen. show running-config group-policy <name> toant de groepswaarde, en show running-config username <name> toant oft der in wearde per brûker bestiet. As beide bestean, wint de brûkerswearde. Ferlykje dan de ynfieringen fan dy ACL mei de stream dy’t jo oanbelanget, yn ’e rjochting dêr’t it filter beoardielet.

In filter dat de applikaasjeserver tastiet, seit neat oer behear. Dat binne aparte regels op in apart paad.

Ferifiearje ien tastimming en ien wegering

Packet-tracer is de fluchste manier om it beslút te sjen sûnder te wachtsjen oant in brûker it meldt. Jou it de stream fan ’e ûntsifere kant en lit it de ACL-, NAT- en ynspeksjestappen neame dy’t it trochgiet.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Lês de resultaatrigel: dy neamt de ACL dy’t it pakket tastien of daliks wegere hat.
3. Werhelje mei it administraasjedestinaasje op ’e inside-interface en befêstigje in wegering.
4. Werhelje noch ien kear nei elke feroaring, sadat sawol de tastân foar as nei fêstlein is.

Ferifiearje dan mei echt ferkear: ien suksesfolle applikaasje-oanfraach fan ’e filiale en ien mislearre SSH-poging nei de ASA. Packet-tracer modellearret it paad; in libbene stream bewiist dat it model klopte.

Draai de feroaring werom dy’t it wurkje liet

As de oplossing wie it útskeakeljen fan ’e ACL-omgong of it ferbreedzjen fan in filter, hâld dan de foarige konfiguraasje. In show run-opname fan ’e beynfloede objekten, bewarre foar de feroaring, is genôch om se te herstellen; ASA-konfiguraasje is rigeloriïntearre, dus weromdraaie betsjut de âlde rigels opnij ynfiere, net in bestân weromsette.

Registrearje it interfacepear, it effektive filter, de ACL-namme út packet-tracer en de krekte opdrachten dy’t jo feroare hawwe. Dat registraasje makket de folgjende beoardieling in kontrôle fan fiif minuten ynstee fan wer in debat oer fertrouwensnivo’s.