VPN između lokacija radi, ali ASA zapisi ne dolaze: provjerite izvornu adresu

Unutarnji hostovi dosežu udaljeni kolektor i njihovi syslog retci se pojavljuju. Vlastite ASA poruke o tim istim sesijama nikada ne stižu. Ništa nije pogrešno ni s kolektorom ni s tunelom, i to je zbunjujući dio. Vatrozid šalje svoje zapise s izvora koji tunel nikada nije bio napravljen da štiti.

Što stiže, a što ne

Počnite razdvajanjem dvaju tokova koji na nadzornoj ploči izgledaju identično. Proslijeđeni promet prolazi kroz ASA: LAN host šalje kolektoru, ASA ga uspoređuje s pravilima tunela, šifrira ga i kolektor vidi adresu hosta. Generirani promet počinje na samom ASA: uređaj sastavlja syslog paket, bira izlazno sučelje i izvor i tek onda pita postoji li pravilo tunela koje odgovara. Prvi tok dokazuje da tunel radi, a o drugom ne govori ništa.

Baferirani događaj na uređaju također nije dokaz udaljene isporuke, jer zapis može postojati lokalno i nikada nije poslan. Provjerite brojače primanja na kolektoru prije nego što okrivite tunel, jer prazan brojač je drugačiji nalaz od brojača koji raste.

Generirana poruka nije proslijeđeni promet

Kada ASA sam generira paket, ne posreduje za LAN host. Izvor dolazi s izlaznog sučelja ili iz eksplicitne postavke izvora, a paket ulazi u isto traženje rute i iste provjere pravila kao i sve drugo što uređaj šalje. To znači da VPN selektor mora uključivati adresu koju ASA stvarno koristi, a to je često njegovo vanjsko sučelje, a ne unutarnja podmreža.

Ako pravila štite 10.20.0.0/24, a ASA kao izvor koristi svoju vanjsku adresu, paket zapisa ili izlazi u čistom tekstu prema kolektoru do kojeg ne može doći, ili biva odbačen. Oba ishoda sa strane kolektora izgledaju isto. Ista logika vrijedi i za upravljački promet, zato je management-access zasebna projektna odluka.

Koji izvor ASA stavlja na mrežu

Pronađite izvor empirijski, a ne pretpostavkom. Snimanje na izlaznom sučelju tijekom testne poruke pokazuje stvarni izvor i odredište i troši manje vremena od čitanja tri dijela konfiguracije. Usporedite tu adresu s lokalnim selektorom tunela.

Neka izdanja dopuštaju da se izvor zapisa veže za sučelje, a referenca naredbi za vašu verziju je autoritet za to postoji li ta opcija i što mijenja. Naredba source-interface s druge Cisco platforme nije automatski valjana na ASA.

Ako ipak promijenite izvor, učinite to namjerno i zabilježite, jer ACL-ovi kolektora i svaka korelacija zasnovana na syslogu ovise o njemu.

Uskladite selektor s tokom zapisa

Kada je izvor poznat, provjerite tri stvari po redu: kripto ACL ili selektor zasnovan na pravilima koji odlučuje koji je promet zanimljiv, rutu koja odlučuje kuda paket ide i svako NAT pravilo koje može prepisati izvor prije šifriranja. Paket koji odgovara ruti ali ne selektoru ne prolazi kroz tunel, a paket koji NAT prepiše možda ne odgovara ni jednom.

Strana kolektora ima vlastite zahtjeve: ACL koji dopušta izvor ASA-e, povratnu rutu i uslugu koja sluša na portu koji ste konfigurirali. Prijenos je i ovdje važan, jer se TCP i TLS zapisivanje ponaša drugačije od UDP-a na djelomično blokiranom putu. Mijenjajte jedan element po jedan, inače sljedeće snimanje neće reći koja je promjena bila važna.

Provjerite na kolektoru, zatim zabilježite izvor

Potvrdite da poruka stiže, zatim zapišite izvornu adresu koju je ASA koristio, selektor koji ju je prenio i razinu ozbiljnosti s kojom ste testirali.

Taj zapis pretvara sljedeću promjenu ACL-a kolektora ili uređivanje selektora u dvominutnu provjeru umjesto ponovnog otkrivanja. Također dokumentira koji je od dvaju tokova ikada validiran, a upravo taj dio većina priručnika izostavlja. Ako poruka još ne stiže, privremeno snizite prag ozbiljnosti i testirajte prema jednom odredištu.

Ciscov FAQ o ASA zapisivanju dokumentira slučaj s vanjskim izvorom koji zahtijeva odgovarajuću definiciju zaštićenog prometa, a njegov primjer s unutarnjim izvorom uključuje i host za zapise iznutra i management-access iznutra. Tretirajte dokumentiranu kombinaciju i kontekst softvera zajedno, umjesto da pretpostavite da jedna kopirana linija odgovara svakoj konfiguraciji.

Tunel koji nosi LAN promet nije tunel koji nosi vlastiti glas vatrozida.