האם תת-רשת VPN מקבלת את רמת האבטחה של ממשק ה-ASA?

תת-רשת VPN מפוענחת לעולם אינה יורשת רמת אבטחה של ממשק. בדקו בנפרד את sysopt connection permit-vpn, את מסנן הקבוצה ואת גישת הניהול.

מישהו שואל אם תת-רשת ה-VPN של הסניף היא «רמת אבטחה 0 או 100» ב-ASA, והשאלה כבר מכילה את הטעות. רמת אבטחה היא תכונה של ממשק מקומי, והיא מוקצית מ-0 עד 100 בתצורת הממשק. תת-רשת מרוחקת שמגיעה דרך מנהרה לא מקבלת אחת, לא משנה איך נכתבה ה-crypto map. לכן לשאלה אין תשובה מספרית.

השאלה המעשית הבאה טובה יותר: איזו מדיניות מכניסה את הסניף לשרת, ואיזו מרחיקה אותו מחומת האש עצמה. אלה שתי תשובות, והנוהל שלהלן מפריד ביניהן.

רמות אבטחה שייכות לממשקים

הריצו show running-config interface ותראו security-level מתחת לכל ממשק פיזי או ממשק VLAN, לא מתחת לקבוצת המנהרה או ל-crypto map. ההיתר המוגדר כברירת מחדל מגבוה לנמוך נבחן בין הממשקים האלה, ולכן המספר משנה את התנהגות הבדיקה וה-ACL המשתמעת בנתיב שאליו הוא שייך.

בזרימת VPN מפוענחת, הכניסה היא עדיין ממשק ה-outside שבו המנהרה מסתיימת, והיציאה היא ממשק ה-inside לעבר השרת. רשמו את שניהם לפני שאתם נוגעים במשהו. הצעד האחד הזה מסיר את רוב הבלבול, כי הוא הופך שאלת אמון מופשטת לזוג ממשקים.

לעקיפת ה-ACL יש גבול עם שם

sysopt connection permit-vpn הוא ההגדרה שאנשים זוכרים חצי ככה כשהם אומרים שתעבורת VPN מתעלמת מ-ACL. הוא אכן מדלג על ACL הממשק עבור תעבורה שמתאימה לתעבורת VPN, ומדריך הפרמטרים של 9.x מגביל אותו לפי ממשק וכיוון במקום להכריז על חריגה גלובלית.

בדקו מה מוגדר לפני שאתם מסיקים מהזיכרון:

  • show running-config all sysopt כדי לראות את הערך האפקטיבי, לא רק את השורות שאינן ברירת מחדל.
  • show running-config access-group כדי לראות איזה ACL מוחל על איזה ממשק וכיוון.
  • show vpn-sessiondb detail l2l כדי לוודא באיזו קבוצת מנהרה ואיזה מסנן הסשן משתמש בפועל.

כיבוי ההגדרה הזו כדי להדק את גישת ה-VPN הוא שינוי עם השפעה רחבה. הוא מחזיר כל זרימת VPN מתאימה לכפיפות ל-ACL החיצוני, מה שבדרך כלל שובר מנהרות עובדות בדרכים שאינן קשורות לסניף שנשאלתם עליו.

קראו את המסנן שמצורף לסשן

השליטה האמיתית לכל מנהרה היא מסנן ה-VPN: ACL שמדיניות קבוצה או שם משתמש מפנים אליו, מוחל לאחר הפענוח ולפני ההצפנה. מסנן ברמת משתמש גובר על הערך ברמת הקבוצה, כך ששני אנשים באותה קבוצת מנהרה יכולים לקבל גישה אפקטיבית שונה.

אשרו את הקדימות במקום להניח אותה. show running-config group-policy <name> מציג את ערך הקבוצה, ו-show running-config username <name> מציג אם קיים ערך לכל משתמש. אם שניהם קיימים, ערך המשתמש מנצח. לאחר מכן השוו את הרשומות של ה-ACL הזה לזרימה שמעניינת אתכם, בכיוון שבו המסנן מעריך.

מסנן שמתיר את שרת האפליקציה לא אומר דבר על ניהול. אלה כללים נפרדים בנתיב נפרד.

אמתו היתר אחד וחסימה אחת

Packet-tracer היא הדרך המהירה ביותר לראות את ההחלטה בלי להמתין שמשתמש ידווח עליה. תנו לו את הזרימה מהצד המפוענח ותנו לו למנות את שלבי ה-ACL, ה-NAT והבדיקה שהיא עוברת.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. קראו את שורת התוצאה: היא מנה את ה-ACL שהתיר או השליך את החבילה.
  3. חזרו על הפעולה עם יעד הניהול בממשק ה-inside ואשרו חסימה.
  4. חזרו עוד פעם אחת אחרי כל שינוי, כדי שגם המצב לפני וגם המצב אחרי יירשמו.

לאחר מכן אמתו בתעבורה אמיתית: בקשת אפליקציה מוצלחת אחת מהסניף וניסיון SSH כושל אחד ל-ASA. Packet-tracer מדמה את הנתיב; זרימה חיה מוכיחה שהמודל התאים.

בטלו את השינוי שגרם לזה לעבוד

אם התיקון היה כיבוי עקיפת ה-ACL או הרחבת מסנן, שמרו על התצורה הקודמת. צילום show run של האובייקטים המושפעים, שנשמר לפני השינוי, מספיק כדי לשחזר אותם; תצורת ASA מכוונת שורות, ולכן ביטול פירושו להזין מחדש את השורות הישנות, לא לשחזר קובץ.

רשמו את זוג הממשקים, את המסנן האפקטיבי, את שם ה-ACL מ-Packet-tracer ואת הפקודות המדויקות ששיניתם. הרישום הזה הופך את הסקירה הבאה לבדיקה של חמש דקות במקום עוד ויכוח על רמות אמון.

מאמרים קשורים