Oibríonn VPN idir suíomhanna, ach ní thagann logaí ASA: seiceáil an seoladh foinse

Sroicheann óstaigh inmheánacha an bailitheoir cianda agus tagann a línte syslog chun solais. Ní thagann teachtaireachtaí an ASA féin faoi na seisiúin chéanna riamh. Níl aon rud cearr leis an mbailitheoir ná leis an tollán, agus sin an chuid mhearbhallach. Tá an balla dóiteáin ag seoladh a logaí ó fhoinse nár tógadh an tollán riamh chun í a chosaint.

Cad a thagann agus cad nach dtagann

Tosaigh trí dhá shruth a dheighilt atá cosúil lena chéile ar dheais. Téann trácht a sheoltar ar aghaidh tríd an ASA: seolann óstach LAN chuig an mbailitheoir, déanann an ASA é a mheaitseáil leis an bpolasaí tolláin, déanann é a chriptiú, agus feiceann an bailitheoir seoladh an óstaigh. Tosaíonn trácht ginte ar an ASA féin: tógann an gléas paicéad syslog, roghnaíonn sé comhéadan eisithe agus foinse, agus ní iarrann sé ach ansin an bhfuil aon bpolasaí tolláin ag teacht leis. Cruthaíonn an chéad sruth go n-oibríonn an tollán, agus ní deir sé aon rud faoin dara sruth.

Ní fianaise ar sheachadadh cianda é imeacht maolánach ar an ngléas ach an oiread, mar d’fhéadfadh an log a bheith ann go háitiúil gan a bheith seolta riamh. Seiceáil cuntair ghlacadh an bhailitheora sula gcuireann tú an locht ar an tollán, mar is fionnachtain dhifriúil cuntar folamh ó cheann atá ag fás.

Ní trácht a sheoltar ar aghaidh é teachtaireacht a ghintear

Nuair a ghineann an ASA paicéad é féin, ní bhíonn sé ag seachfhreastal ar óstach LAN. Tagann an fhoinse ón gcomhéadan eisithe nó ó shocrú foinse follasach, agus téann an paicéad isteach sa chuardach bealaigh agus sna seiceálacha polasaí céanna le haon rud eile a sheolann an gléas. Ciallaíonn sé sin go gcaithfidh roghnóir an VPN an seoladh a úsáideann an ASA i ndáiríre a áireamh, agus is minic gurb é a chomhéadan seachtrach sin seachas fo-líonra inmheánach.

Má chosnaíonn an polasaí 10.20.0.0/24 agus má úsáideann an ASA a sheoladh seachtrach mar fhoinse, téann an paicéad loga amach i dtéacs soiléir i dtreo bailitheora nach féidir leis a shroicheadh, nó caitear é. Breathnaíonn an dá thoradh mar an gcéanna ó thaobh an bhailitheora. Baineann an réasúnaíocht chéanna le trácht bainistíochta, agus is ar an gcúis sin gur cinneadh dearaidh ar leith é management-access.

Cén fhoinse a chuireann an ASA ar an sreang

Aimsigh an fhoinse go heimpíreach seachas trí bharúil. Taispeánann gabháil ar an gcomhéadan eisithe le linn teachtaireachta tástála an fhoinse agus an ceann scríbe iarbhír, agus cosnaíonn sé níos lú ama ná trí roinn chumraíochta a léamh. Cuir an seoladh sin i gcomparáid le roghnóir áitiúil an tolláin.

Ligeann roinnt eisiúintí duit foinse an logála a phionnáil le comhéadan, agus is é tagairt ordaithe do do leagan an t-údarás ar an bhfuil an rogha sin ann agus cad a athraíonn sé. Ní bhíonn ordú source-interface ó ardán Cisco eile bailí go huathoibríoch ar ASA.

Má athraíonn tú an fhoinse, déan go feasach é agus nóta é, mar tá ACLanna an bhailitheora agus aon chomhghaol atá tógtha ar syslog ag brath uirthi.

Meaitseáil an roghnóir le sruth an logála

Nuair atá an fhoinse ar eolas, seiceáil trí rud in ord: an ACL cripte nó an roghnóir atá bunaithe ar pholasaí a shocraíonn cén trácht atá suimiúil, an bealach a shocraíonn cá dtéann an paicéad, agus aon riail NAT a d’fhéadfadh an fhoinse a athscríobh roimh chriptiú. Ní dhéantar paicéad a thagann leis an mbealach ach nach dtagann leis an roghnóir a thollánú, agus b’fhéidir nach dtagann paicéad a athscríobhann NAT le ceachtar acu.

Tá a chuid riachtanas féin ag taobh an bhailitheora: ACL a cheadaíonn foinse an ASA, bealach fillte agus seirbhís éisteachta ar an bport a chumraigh tú. Tá tábhacht leis an iompar anseo freisin, mar iompraíonn logáil TCP agus TLS é féin go difriúil ó UDP ar chonair atá blocáilte go páirteach. Athraigh gné amháin ag an am, nó ní inseoidh an chéad ghabháil eile duit cén t-athrú a bhí tábhachtach.

Fíoraigh ag an mbailitheoir, ansin taifead an fhoinse

Deimhnigh go dtagann an teachtaireacht, ansin scríobh síos an seoladh foinse a d’úsáid an ASA, an roghnóir a d’iompair í agus an déine ar thástáil tú léi.

Casann an taifead sin an chéad athrú ACL eile ar an mbailitheoir nó eagarthóireacht an roghnóra ina sheiceáil dhá nóiméad in ionad athfhionnachtain. Déanann sé doiciméadú freisin ar cén ceann den dá shruth a ndearnadh bailíochtú riamh air, agus sin an chuid a fhágtar ar lár ag formhór na runbookanna. Mura dtagann an teachtaireacht fós, ísligh an tairseach déine go sealadach agus tástáil i gcoinne aon cheann scríbe amháin.

Déanann CCanna faoi logáil ASA de chuid Cisco doiciméadú ar chás le foinse sheachtrach a dteastaíonn an sainmhíniú comhfhreagrach ar thrácht cosanta uaidh, agus cuimsíonn a shampla le foinse inmheánach idir óstach logála ar an taobh istigh agus management-access ar an taobh istigh. Caith leis an teaglaim dhoiciméadaithe agus le comhthéacs na mbogearraí le chéile in ionad glacadh leis go n-oireann líne chóipeáilte amháin do gach cumraíocht.

Ní tollán a iompraíonn trácht LAN é tollán a iompraíonn guth an bhalla dóiteáin féin.