ASA के TACACS+ अनुरोध आपकी ब्रांच VPN टनल से क्यों बच निकलते हैं

ब्रांच टनल चालू है, उपयोगकर्ता दूरस्थ TACACS+ सर्वर पर प्रमाणीकरण कर रहे हैं, और फ़ायरवॉल का अपना लॉगिन अब भी समय समाप्त होने से विफल होता है। कारण टनल में कोई बग नहीं है: LAN-to-LAN टनल वह ट्रैफ़िक ले जाती है जो उसके सिलेक्टर से मेल खाता है, और ASA जो प्रबंधन ट्रैफ़िक अपने बारे में उत्पन्न करता है वह अपने स्वयं के स्रोत पते वाला अलग प्रवाह है। अधिकांश टीमें इसे बदलाव विंडो के दौरान खोजती हैं, जब एकमात्र व्यवस्थापक खाता ही विफल हो रहा होता है। ASA द्वारा शुरू किए गए AAA सत्र को ऐसे प्रवाह के रूप में लें जिसे आपको डिज़ाइन करना है, न कि पहले से काम कर रही कनेक्टिविटी के दुष्प्रभाव के रूप में।

ASA ही क्लाइंट है, और उसके अपने ट्रैफ़िक को अपना पथ चाहिए

जब फ़ायरवॉल किसी TACACS+ सर्वर से संपर्क करता है, तो फ़ायरवॉल किसी भी अन्य की तरह क्लाइंट होता है, सिवाय इसके कि किसी ने जानबूझकर उसके लिए रूट कॉन्फ़िगर नहीं किया। उसके पैकेट डिवाइस पर किसी इंटरफ़ेस पते से निकलते हैं, वे फ़ॉरवर्ड होने के बजाय स्थानीय रूप से उत्पन्न होते हैं, और उन्हें उपयोगकर्ता ट्रैफ़िक की तरह ही रूट, ट्रांसलेट और नीति से सुरक्षित करना पड़ता है। उपयोगकर्ता सबनेट की सुरक्षा करने वाली साइट-से-साइट टनल उस प्रबंधन स्रोत की स्वचालित रूप से रक्षा नहीं करती, क्योंकि ट्रैफ़िक चयन पतों पर आधारित होता है, इरादे पर नहीं।

वह पता लिखें जिसे सर्वर देखेगा ऐसी आप अपेक्षा करते हैं। यदि आप उसे एक पंक्ति में नहीं कह सकते, तो आपके पास अभी कोई डिज़ाइन नहीं है।

aaa-server पंक्ति का इंटरफ़ेस सजावट नहीं है

ASA पर aaa-server होस्ट प्रविष्टि कोष्ठक में इंटरफ़ेस संबद्धता लेती है, और Cisco का AAA होस्ट कमांड संदर्भ उसे उस इंटरफ़ेस के रूप में वर्णित करता है जहाँ प्रमाणीकरण सर्वर स्थित है। यही संबद्धता अनुरोध को एक इंटरफ़ेस से और उस इंटरफ़ेस द्वारा लागू नीति से बाँधती है। इसे किसी भी ऐसे इंटरफ़ेस से चुनना जो इंटरनेट की ओर हो, या पिछले माइग्रेशन से जो बचा है उसे छोड़ देना, ऐसा स्रोत पता बनाता है जिसके लिए दूरस्थ सर्वर और टनल कभी बनाए ही नहीं गए।

inside तभी सही उत्तर है जब नामित इंटरफ़ेस के पास वह पता हो जिसे आपका डिज़ाइन स्रोत के रूप में उपयोग करना चाहता है। ब्रांच डिवाइस पर ऐसा अक्सर होता है; कई निजी सेगमेंट वाले डिवाइस पर शायद नहीं।

संबद्धता बदलने का अर्थ है प्रविष्टि फिर से बनाना

वही कमांड संदर्भ एक संपादन बाधा का दस्तावेज़ीकरण करता है जो कटओवर के दौरान लोगों को फँसाती है: मौजूदा होस्ट पर इंटरफ़ेस बदलने के लिए होस्ट प्रविष्टि हटाकर फिर से बनानी पड़ती है। संपादित दिखने वाला कॉन्फ़िगरेशन शायद प्रभावी न हुआ हो, और अगला लॉगिन प्रयास अब भी पुराने पते से ही निकलेगा। इसे जगह पर बदलाव के रूप में नहीं, बल्कि मूल प्रविष्टि की एक प्रति सामने रखकर हटाने-जोड़ने के रूप में योजना बनाएँ।

यदि कई सर्वर परिभाषित हैं, तो एक बदलें और बाकी को छूने से पहले उसे जाँचें, ताकि एक गलती एक साथ सभी प्रशासनिक रास्ते बंद न कर दे।

सिलेक्टर, ट्रांसलेशन और वापसी पथ एक साथ जाँचें

अनुरोध के पहुँचने के लिए तीन चीज़ें मेल खानी चाहिए। टनल के ट्रैफ़िक सिलेक्टर, या टनल-इंटरफ़ेस सुरक्षा यदि आप चलाते हैं, में ASA का अपना स्रोत और सर्वर का पता शामिल होना चाहिए; उपयोगकर्ता सबनेट के लिए बनी सिलेक्टर सूची सामान्यतः ऐसा नहीं करेगी। पथ पर कोई भी NAT नियम उस स्रोत का सुसंगत अनुवाद करे, क्योंकि सर्वर ऐसी नेटवर्क-डिवाइस पहचान को अधिकृत करता है जिसमें वह पता शामिल हो जो वह देखता है। और वापसी पथ मौजूद होना चाहिए, जिसका पॉलिसी-आधारित टनल में अर्थ है कि दूसरे छोर पर विपरीत दिशा में मेल खाता सिलेक्टर है।

सर्वर पक्ष पर डिवाइस पहचान, साझा रहस्य और प्रशासनिक नीति अलग-अलग पुष्टि करें। TACACS+ प्रमाणीकरण, अधिकरण और लेखांकन को अलग-अलग क्रियाओं के रूप में रखता है, इसलिए पूर्ण हुए आदान-प्रदान के बाद आने वाला इनकार नीति का उत्तर है, परिवहन विफलता नहीं। उसे नेटवर्क समस्या के रूप में पढ़ना आपको गलत जगह खोजने भेजता है।

डिबग करते समय रहस्य को कैप्चर, टिकट और ट्रांसक्रिप्ट से बाहर रखें, और याद रखें कि सर्वर जो स्रोत पता लॉग करता है वही वह पता है जिसे आपके डिज़ाइन को समझाना है।

खुद को बाहर लॉक किए बिना बदलाव करें

दूरस्थ प्रशासनिक प्रमाणीकरण बदलते समय कंसोल या स्वतंत्र प्रबंधन पथ का उपयोग करें, और नया पथ वास्तविक लॉगिन न ले आए तब तक स्वीकृत स्थानीय विकल्प रखें। फिर संकीर्ण रूप से सत्यापित करें: एक सर्वर, एक डिवाइस, दोनों सिरों पर देखे गए स्रोत पते के साथ एक सफल प्रमाणीकरण।

प्रवाह को उसके अपने पृष्ठ पर दर्ज करें: उद्गम इंटरफ़ेस और पता, दूरस्थ सर्वर, संरक्षित पथ, और वह व्यक्ति जिसके पास अधिकरण नीति है। तब बाद का इंटरफ़ेस या टनल बदलाव दो प्रवाहों में से किसे प्रभावित करता है, यह अनुमान लगाए बिना आँका जा सकेगा।