क्या VPN सबनेट को ASA इंटरफ़ेस का सुरक्षा स्तर मिलता है?

डिक्रिप्ट किया गया VPN सबनेट कभी इंटरफ़ेस का सुरक्षा स्तर विरासत में नहीं पाता। sysopt connection permit-vpn, समूह फ़िल्टर और प्रबंधन पहुँच की अलग-अलग जाँच करें।

कोई पूछता है कि क्या ब्रांच का VPN सबनेट ASA पर «सुरक्षा स्तर 0 या 100» रखता है, और सवाल में पहले से ही गलती है। सुरक्षा स्तर स्थानीय इंटरफ़ेस का गुण है और इंटरफ़ेस कॉन्फ़िगरेशन में 0 से 100 तक दिया जाता है। टनल से आने वाला दूरस्थ सबनेट कोई स्तर नहीं पाता, चाहे crypto map कैसे भी लिखा हो। इसलिए सवाल का कोई संख्यात्मक उत्तर नहीं है।

व्यावहारिक अगला सवाल बेहतर है: कौन सी नीति ब्रांच को सर्वर तक जाने देती है और कौन सी उसे फ़ायरवॉल से दूर रखती है। ये दो उत्तर हैं, और नीचे की प्रक्रिया उन्हें अलग करती है।

सुरक्षा स्तर इंटरफ़ेस के होते हैं

show running-config interface चलाएँ और आपको हर भौतिक इंटरफ़ेस या VLAN इंटरफ़ेस के नीचे security-level दिखेगा, टनल समूह या crypto map के नीचे नहीं। ऊँचे से नीचे की डिफ़ॉल्ट अनुमति उन इंटरफ़ेस के बीच आँकी जाती है, इसलिए संख्या उस पथ पर निरीक्षण और अंतर्निहित ACL का व्यवहार बदलती है जिससे वह जुड़ी है।

डिक्रिप्ट किए गए VPN प्रवाह में प्रवेश अब भी outside इंटरफ़ेस है जहाँ टनल समाप्त होता है, और निकास सर्वर की ओर inside इंटरफ़ेस है। कुछ भी छूने से पहले दोनों लिख लें। यह एक कदम अधिकांश उलझन हटा देता है, क्योंकि यह अमूर्त विश्वास के सवाल को इंटरफ़ेस जोड़ी में बदल देता है।

ACL बायपास की एक नामित सीमा है

sysopt connection permit-vpn वह सेटिंग है जिसे लोग आधा-अधूरा याद रखते हैं जब वे कहते हैं कि VPN ट्रैफ़िक ACL को अनदेखा करता है। यह उस ट्रैफ़िक के लिए इंटरफ़ेस ACL को वाकई छोड़ देता है जो VPN ट्रैफ़िक के रूप में योग्य है, और 9.x पैरामीटर गाइड इसे वैश्विक अपवाद घोषित करने के बजाय इंटरफ़ेस और दिशा के अनुसार सीमित करता है।

स्मृति से तर्क करने से पहले जाँचें कि क्या कॉन्फ़िगर है:

  • show running-config all sysopt वास्तविक मान देखने के लिए, केवल गैर-डिफ़ॉल्ट पंक्तियाँ नहीं।
  • show running-config access-group यह देखने के लिए कि कौन सा ACL किस इंटरफ़ेस और दिशा पर लागू है।
  • show vpn-sessiondb detail l2l यह पुष्टि करने के लिए कि सत्र वास्तव में कौन सा टनल समूह और फ़िल्टर उपयोग करता है।

VPN पहुँच कड़ी करने के लिए उस सेटिंग को बंद करना बड़े प्रभाव का बदलाव है। यह हर योग्य VPN प्रवाह को फिर से बाहरी ACL के अधीन कर देता है, जो आमतौर पर चल रहे टनल को उन तरीकों से तोड़ता है जिनका उस ब्रांच से संबंध नहीं है जिसके बारे में आपसे पूछा गया।

सत्र से जुड़ा फ़िल्टर पढ़ें

प्रति-टनल असली नियंत्रण VPN फ़िल्टर है: समूह नीति या उपयोगकर्ता नाम द्वारा संदर्भित ACL, जो डिक्रिप्शन के बाद और एन्क्रिप्शन से पहले लागू होता है। उपयोगकर्ता-स्तरीय फ़िल्टर समूह-स्तरीय मान को बदल देता है, इसलिए एक ही टनल समूह के दो लोगों की प्रभावी पहुँच अलग हो सकती है।

वरीयता को मान लेने के बजाय पुष्टि करें। show running-config group-policy <name> समूह का मान दिखाता है, और show running-config username <name> दिखाता है कि प्रति-उपयोगकर्ता मान है या नहीं। यदि दोनों मौजूद हैं, उपयोगकर्ता का मान जीतता है। फिर उस ACL की प्रविष्टियों की तुलना उस प्रवाह से करें जिसकी आपको चिंता है, उस दिशा में जिसमें फ़िल्टर मूल्यांकन करता है।

एप्लिकेशन सर्वर की अनुमति देने वाला फ़िल्टर प्रबंधन के बारे में कुछ नहीं कहता। ये अलग पथ पर अलग नियम हैं।

एक अनुमति और एक अस्वीकृति सत्यापित करें

उपयोगकर्ता के रिपोर्ट करने की प्रतीक्षा किए बिना निर्णय देखने का सबसे तेज़ तरीका Packet-tracer है। इसे डिक्रिप्ट-पक्ष का प्रवाह दें और इसे उन ACL, NAT और निरीक्षण चरणों के नाम बताने दें जिनसे वह गुज़रता है।

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. परिणाम पंक्ति पढ़ें: यह उस ACL का नाम बताती है जिसने पैकेट को अनुमति दी या गिरा दिया।
  3. inside इंटरफ़ेस पर प्रशासनिक गंतव्य के साथ दोहराएँ और अस्वीकृति की पुष्टि करें।
  4. किसी भी बदलाव के बाद एक बार और दोहराएँ, ताकि पहले और बाद की दोनों स्थितियाँ दर्ज हों।

फिर असली ट्रैफ़िक से सत्यापित करें: ब्रांच से एक सफल एप्लिकेशन अनुरोध और ASA की ओर एक असफल SSH प्रयास। Packet-tracer पथ का मॉडल बनाता है; जीवंत प्रवाह साबित करता है कि मॉडल मेल खाया।

उस बदलाव को वापस लें जिसने इसे काम कराया

यदि समाधान ACL बायपास बंद करना या फ़िल्टर चौड़ा करना था, तो पिछला कॉन्फ़िगरेशन रखें। बदलाव से पहले सहेजा गया प्रभावित ऑब्जेक्ट का show run कैप्चर उन्हें बहाल करने के लिए पर्याप्त है; ASA कॉन्फ़िगरेशन पंक्ति-उन्मुख है, इसलिए वापस लौटाने का अर्थ पुरानी पंक्तियाँ फिर से दर्ज करना है, फ़ाइल बहाल करना नहीं।

इंटरफ़ेस जोड़ी, प्रभावी फ़िल्टर, packet-tracer से ACL का नाम और आपके द्वारा बदले गए सटीक कमांड दर्ज करें। यह रिकॉर्ड अगली समीक्षा को विश्वास स्तरों पर एक और बहस के बजाय पाँच मिनट की जाँच में बदल देता है।

संबंधित लेख