Zašto TACACS+ zahtjevi ASA-e zaobilaze VPN tunel vaše podružnice

Tunel podružnice je aktivan, korisnici se autentificiraju na udaljeni TACACS+ poslužitelj, a vlastita prijava vatrozida i dalje istječe. Razlog nije greška u tunelu: LAN-to-LAN tunel prenosi promet koji odgovara njegovim selektorima, a upravljački promet koji ASA generira o sebi zaseban je tok s vlastitom izvornom adresom. Većina timova to otkrije tijekom prozora za promjene, kada je jedini administratorski račun upravo onaj koji ne uspijeva. Tretirajte AAA sesiju koju pokreće ASA kao tok koji morate projektirati, a ne kao nuspojavu povezanosti koja već radi.

ASA je klijent i njezin vlastiti promet treba vlastiti put

Kada vatrozid kontaktira TACACS+ poslužitelj, vatrozid je klijent kao i svaki drugi, osim što mu nitko namjerno nije konfigurirao rutu. Njegovi paketi potječu s adrese sučelja na uređaju, generiraju se lokalno umjesto da se prosljeđuju, i moraju se usmjeravati, prevoditi i štititi politikom baš kao korisnički promet. Tunel od lokacije do lokacije koji štiti korisničku podmrežu ne štiti automatski taj upravljački izvor, jer se odabir prometa temelji na adresama, a ne na namjeri.

Zapišite adresu koju očekujete da će poslužitelj vidjeti. Ako je ne možete izreći u jednom retku, još nemate projekt.

Sučelje u retku aaa-server nije ukras

Na ASA-i aaa-server unos hosta prima vezu sa sučeljem u zagradama, a Ciscoov priručnik za AAA host naredbe opisuje ga kao sučelje na kojem se nalazi poslužitelj za autentifikaciju. Upravo ta veza povezuje zahtjev sa sučeljem i s politikom koju to sučelje primjenjuje. Ako ga odaberete prema onom sučelju koje gleda u internet, ili ostavite ono što je ostalo od zadnje migracije, dobivate izvornu adresu za koju udaljeni poslužitelj i tunel nikada nisu napravljeni.

inside je točan odgovor samo kada imenovano sučelje drži adresu koju vaš projekt namjerava koristiti kao izvor. Na uređaju u podružnici to je često slučaj; na uređaju s nekoliko privatnih segmenata možda nije.

Promjena veze znači ponovno stvaranje unosa

Isti priručnik dokumentira ograničenje uređivanja koje ljude uhvati tijekom prijelaza: promjena sučelja na postojećem hostu zahtijeva uklanjanje i ponovno stvaranje unosa hosta. Konfiguracija koja izgleda uređeno možda nije stupila na snagu, a sljedeći pokušaj prijave i dalje će krenuti sa stare adrese. Planirajte to kao brisanje i dodavanje s kopijom izvornog unosa pred sobom, a ne kao izmjenu na licu mjesta.

Ako je definirano nekoliko poslužitelja, promijenite jedan i testirajte ga prije nego dirate ostale, da pogreška ne zaključa sve administrativne putove odjednom.

Provjerite selektore, prevođenje i povratni put zajedno

Tri stvari moraju se uskladiti da bi zahtjev stigao. Selektori prometa tunela, ili zaštita tunelskog sučelja ako je koristite, moraju uključivati vlastiti izvor ASA-e i adresu poslužitelja; popis selektora napravljen za korisničke podmreže to obično neće učiniti. Svako NAT pravilo na putu mora dosljedno prevoditi taj izvor, jer poslužitelj autorizira identitet mrežnog uređaja koji uključuje adresu koju vidi. I povratni put mora postojati, što na tunelu zasnovanom na politikama znači da udaljeni kraj ima odgovarajući selektor u drugom smjeru.

Na strani poslužitelja odvojeno potvrdite identitet uređaja, zajedničku tajnu i administrativnu politiku. TACACS+ drži autentifikaciju, autorizaciju i obračun kao odvojene operacije, pa je odbijanje koje stigne nakon završene razmjene odgovor politike, a ne transportni kvar. Ako ga čitate kao mrežni problem, tražit ćete na pogrešnom mjestu.

Držite tajnu izvan snimaka, tiketa i transkripata dok otklanjate problem, i zapamtite da je izvorna adresa koju poslužitelj bilježi upravo ona koju vaš projekt mora objasniti.

Napravite promjenu bez zaključavanja sebe

Koristite konzolu ili neovisni upravljački put dok mijenjate udaljenu administrativnu autentifikaciju, i držite odobrenu lokalnu rezervu dok novi put ne obavi stvarnu prijavu. Zatim provjerite usko: jedan poslužitelj, jedan uređaj, jedna uspješna autentifikacija s izvornom adresom viđenom na oba kraja.

Zabilježite tok na njegovoj vlastitoj stranici: izvorno sučelje i adresa, udaljeni poslužitelj, zaštićeni put i osoba koja posjeduje politiku autorizacije. Tada se kasnija promjena sučelja ili tunela može procijeniti bez pogađanja koji od dva toka ona pogađa.