Shin VPN subnet ɗin yana samun matakin tsaro na ASA interface?

Wani ya tambaya ko VPN subnet ɗin reshe yana da «matakin tsaro 0 ko 100» a kan ASA, kuma tambayar ta riga ta ƙunshi kuskuren. Matakin tsaro dukiya ce ta interface na gida, kuma ana ba da ita daga 0 zuwa 100 a cikin saitin interface. Subnet ɗin nesa da ke zuwa ta hanyar tunnel ba ya samun ko ɗaya, komi yadda aka rubuta crypto map. Shi ya sa tambayar ba ta da amsa ta lamba.

Tambayar aiki da ta biyo baya ita ce mafi kyau: wace manufa ce ke ba reshe izinin zuwa sabar, kuma wacece ke nisanta shi da murhuwar wuta kanta. Amsoshi biyu ne, kuma tsarin da ke ƙasa ya raba su.

Matakan tsaro na interfaces ne

Gudanar da show running-config interface kuma za ka ga security-level a ƙarƙashin kowace interface ta zahiri ko ta VLAN, ba a ƙarƙashin rukunin tunnel ko crypto map ba. Ana auna izinin da aka saba na daga sama zuwa ƙasa tsakanin waɗannan interfaces, shi ya sa lambar ke canza halin bincike da ACL ɓoye a kan hanyar da ta kasance.

Ga kwararar VPN da aka warware, ƙofar shiga har yanzu ita ce interface na waje inda tunnel ke ƙarewa, kuma fitar ita ce interface na ciki zuwa sabar. Rubuta duka biyu kafin ka taɓa wani abu. Wannan mataki ɗaya yana kawar da yawancin rudani, domin yana mai da tambayar amincewa mai wuyar fahimta zuwa haɗin interfaces.

Ketare ACL yana da iyaka mai suna

sysopt connection permit-vpn shine saitin da mutane ke tuna da rabi lokacin da suke cewa zirga-zirgar VPN tana watsi da ACL. Yana tsallake ACL na interface don zirga-zirgar da ta cancanci zama zirga-zirgar VPN, kuma jagorar sigogi ta 9.x tana iyakance ta da interface da alkibla maimakon ayyana keɓe na duniya.

Duba abin da aka saita kafin yin tunani daga ƙwaƙwalwa:

• show running-config all sysopt don ganin ainihin ƙimar, ba kawai layukan da ba na asali ba.
• show running-config access-group don ganin wace ACL aka yi amfani da ita a wace interface da alkibla.
• show vpn-sessiondb detail l2l don tabbatar da wace ƙungiyar tunnel da matata zama ta yi amfani da ita.

Kashe wannan saitin don ƙarfafa damar VPN canji ne mai babban tasiri. Yana sake mai da kowace kwararar VPN da ta cancanta ƙarƙashin ACL na waje, wanda yawanci ke karya tunnels masu aiki ta hanyoyin da ba su da alaƙa da reshen da aka tambaye ka.

Karanta matatar da ke manne da zama

Ainihin sarrafawa ga kowane tunnel ita ce matatar VPN: ACL da manufar ƙungiya ko sunan mai amfani ke nuni gareta, ana amfani da ita bayan warwarewa da kafin ɓoyewa. Matatar matakin mai amfani tana wuce ƙimar matakin ƙungiya, saboda haka mutane biyu a cikin ƙungiyar tunnel ɗaya na iya samun dama daban-daban.

Tabbatar da fifiko maimakon ɗauka. show running-config group-policy <name> yana nuna ƙimar ƙungiya, kuma show running-config username <name> yana nuna ko akwai ƙima ta kowane mai amfani. Idan duka biyu sun kasance, ƙimar mai amfani ce ta fi ƙarfi. Sa’an nan ka kwatanta shigarwar wannan ACL da kwararar da kake damuwa da ita, a alkiblar da matatar ke aunawa.

Matatar da ke ba da izinin sabar aikace-aikace ba ta faɗi komai game da gudanarwa. Dokoki daban ne a kan hanya daban.

Tabbatar da izini ɗaya da hanawa ɗaya

Packet-tracer ita ce hanya mafi sauri ta ganin shawarar ba tare da jira mai amfani ya ba da rahoto ba. Ba shi kwararar gefen da aka warware kuma bari ya ambaci matakan ACL, NAT da bincike da yake bi.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Karanta layin sakamako: yana ambaton ACL da ta ba da izini ko ta watsar da fakitin.
3. Maimaita da wurin gudanarwa a interface na ciki kuma tabbatar da hanawa.
4. Maimaita sau ɗaya bayan kowane canji, domin a rubuta yanayin kafin da bayan duka.

Sa’an nan ka tabbatar da ainihin zirga-zirga: buƙatar aikace-aikace ɗaya mai nasara daga reshe da ƙoƙarin SSH ɗaya da ya kasa zuwa ASA. Packet-tracer yana tsara hanyar; kwarara mai rai tana tabbatar da cewa tsarin ya dace.

Mayar da canjin da ya sa ya yi aiki

Idan gyaran shine kashe ketare ACL ko faɗaɗa matata, riƙe saitin da ya gabata. Ɗaukar show run na abubuwan da abin ya shafa, wanda aka ajiye kafin canjin, ya isa don dawo da su; saitin ASA yana bin layi, don haka mayarwa yana nufin sake shigar da tsoffin layukan, ba dawo da fayil ba.

Yi rikodin haɗin interfaces, matatar da ke aiki, sunan ACL daga packet-tracer da ainihin umarnin da ka canza. Wannan rikodin yana mai da bita ta gaba dubawa na minti biyar maimakon wata muhawara kan matakan amincewa.