An bhfaigheann fo-líonra VPN leibhéal slándála chomhéadain ASA?

Fiafraíonn duine an bhfuil «leibhéal slándála 0 nó 100» ag fo-líonra VPN an chraoibh ar an ASA, agus tá an botún sa cheist cheana féin. Is airí é leibhéal slándála ar chomhéadan áitiúil, agus sanntar 0 go 100 é i gcumraíocht an chomhéadain. Ní fhaigheann fo-líonra cianda a thagann trí thollán ceann ar bith, cibé conas a scríobhtar an crypto map. Sin é an fáth nach bhfuil freagra uimhriúil ar an gceist.

Is fearr an cheist phraiticiúil a leanann: cén polasaí a ligeann an chraobh chuig an bhfreastalaí, agus cé acu a choinníonn amach ón mballa dóiteáin féin í. Dhá fhreagra iad sin, agus scarann an nós imeachta thíos iad.

Baineann leibhéil slándála le comhéadain

Rith show running-config interface agus feicfidh tú security-level faoi gach comhéadan fisiceach nó comhéadan VLAN, ní faoin ngrúpa tolláin ná faoin crypto map. Meastar an cead réamhshocraithe ón leibhéal is airde go dtí an ceann is ísle idir na comhéadain sin, agus sin é an fáth a n-athraíonn an uimhir iompar an iniúchta agus an ACL intuigthe ar an gcosán lena mbaineann sí.

I gcás sreafa VPN díchriptithe, is é an comhéadan outside fós an t-iontráil mar a gcríochnaíonn an tollán, agus is é an comhéadan inside i dtreo an fhreastalaí an t-aschur. Scríobh an dá cheann síos sula ndéanann tú teagmháil le haon rud. Cuireann an chéim amháin sin deireadh le formhór an mhearbhaill, mar déanann sé ceist mhuiníne teibí a iompú ina péire comhéadan.

Tá teorainn ainmnithe ag seachbhóthar an ACL

sysopt connection permit-vpn is ea an socrú a gcuimhnítear go leath air nuair a deirtear go ndéanann trácht VPN neamhaird de ACLanna. Sáraíonn sé ACL an chomhéadain i ndáiríre do thrácht a cháilíonn mar thrácht VPN, agus cuireann treoir pharaiméadar 9.x teorainn leis de réir comhéadain agus treo in ionad eisceacht dhomhanda a dhearbhú.

Seiceáil a bhfuil cumraithe sula bhfuil tú ag réasúnaíocht ó chuimhne:

• show running-config all sysopt chun an luach éifeachtach a fheiceáil, ní hamháin na línte nach réamhshocraithe.
• show running-config access-group chun a fheiceáil cén ACL a chuirtear i bhfeidhm ar cén comhéadan agus treo.
• show vpn-sessiondb detail l2l chun a dheimhniú cén grúpa tolláin agus cén scagaire a úsáideann an seisiún i ndáiríre.

Is athrú mór-éifeachtach é an socrú sin a mhúchadh chun rochtain VPN a dhaingniú. Cuireann sé gach sreabhadh VPN cáilithe faoi réir an ACL sheachtraigh arís, rud a bhriseann tolláin atá ag obair de ghnáth ar bhealaí nach mbaineann leis an gcraobh a fiafraíodh díot faoi.

Léigh an scagaire atá ceangailte leis an seisiún

Is é an scagaire VPN an fíor-rialú in aghaidh an tolláin: ACL a ndéanann polasaí grúpa nó ainm úsáideora tagairt dó, a chuirtear i bhfeidhm tar éis díchriptithe agus roimh chriptiú. Sáraíonn scagaire ar leibhéal úsáideora an luach ar leibhéal grúpa, mar sin féadann beirt sa ghrúpa tolláin céanna rochtain éifeachtach éagsúil a bheith acu.

Deimhnigh an tosaíocht seach a bheith ag glacadh léi. show running-config group-policy <name> a thaispeánann luach an ghrúpa, agus show running-config username <name> a thaispeánann an bhfuil luach in aghaidh an úsáideora ann. Má tá an dá rud ann, buaann luach an úsáideora. Ansin déan comparáid idir iontrálacha an ACL sin agus an sreabhadh a bhfuil suim agat ann, sa treo a mheasann an scagaire.

Ní deir scagaire a cheadaíonn an freastalaí feidhmchláir aon rud faoi bhainistíocht. Rialacha ar leithligh ar chosán leithligh iad sin.

Fíoraigh cead amháin agus diúltú amháin

Is é Packet-tracer an bealach is tapúla chun an cinneadh a fheiceáil gan fanacht go dtuairisceoidh úsáideoir é. Tabhair dó sreabhadh an taoibh dhíchriptithe agus lig dó na céimeanna ACL, NAT agus iniúchta a ainmniú a théann sé tríothu.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Léigh líne an toraidh: ainmníonn sí an ACL a cheadaigh nó a scrios an paicéad.
3. Déan arís leis an gceann scríbe riaracháin ar an gcomhéadan inside agus deimhnigh diúltú.
4. Déan arís uair amháin eile tar éis aon athraithe, ionas go dtaifeadfar an staid roimhe agus an staid ina dhiaidh araon.

Ansin fíoraigh le fíortrácht: iarratas feidhmchláir rathúil amháin ón gcraobh agus iarracht SSH teipthe amháin chuig an ASA. Déanann Packet-tracer an cosán a shamhaltú; cruthaíonn sreabhadh beo gur tháinig an tsamhail leis.

Aisghair an t-athrú a thug air oibriú

Má ba é an ceartú ná seachbhóthar an ACL a dhíchumasú nó scagaire a leathnú, coinnigh an chumraíocht roimhe. Is leor gabháil show run de na réada a ndearnadh difear dóibh, a shábháiltear roimh an athrú, chun iad a athchóiriú; tá cumraíocht ASA dírithe ar línte, mar sin ciallaíonn aisiompú na seanlínte a athiontráil, ní comhad a athchóiriú.

Taifead an péire comhéadan, an scagaire éifeachtach, ainm an ACL ó packet-tracer agus na horduithe cruinne a d’athraigh tú. Iompaíonn an taifead sin an chéad athbhreithniú eile ina sheiceáil cúig nóiméad in ionad díospóireacht eile faoi leibhéil mhuiníne.