Zašto udaljeni korisnik na ASA-i dosegne podmrežu, ali ne aplikaciju
Rute dokazuju da tunel radi, a ne da korisnik smije otvoriti aplikaciju. Pročitajte filter koji je sesija dobila, zatim testirajte dozvoljenu i odbijenu vezu.
Vaš korisnik se poveže, dobije adresu, pinguje server u podmreži aplikacije i ipak ne može otvoriti uslugu na njemu. Ta kombinacija je normalna na ASA-i, jer uspješan tunel i upotrebljiva dozvola određuju se različitim postavkama. Lista podijeljenog tunela odabrala je koja odredišta ulaze u tunel; VPN filter i vlastita pravila pristupa odredišta odlučuju šta dešifrirani zahtjev smije dosegnuti. Prođite kroz tri odluke po redu, umjesto da proširujete listu ruta dok se nešto ne promijeni.
Tri odluke koje je lako pobrkati
Prihvat odgovara može li korisnik uopće uspostaviti tunel: vjerodajnice, certifikat i bilo koji drugi faktor. Odabir rute odgovara koja odredišta klijent šalje u taj tunel. Autorizacija odgovara može li dešifrirani zahtjev dosegnuti uslugu. Samo treća proizvodi grešku koju korisnik prijavljuje.
Brz način da ih razlikujete jeste da pitate šta bi neka promjena pokvarila. Uklanjanje rute iz podijeljene liste zaustavlja saobraćaj prema toj podmreži bez davanja bilo čega; dodavanje ACE-a u VPN filter daje odredište bez promjene onoga što klijent tunelira.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Pročitajte filter koji je sesija zaista dobila
Pođite od žive sesije, a ne od konfiguracije za koju mislite da se primjenjuje. show vpn-sessiondb detail anyconnect ispisuje dodijeljenu grupnu politiku i naziv filtera priključenog toj sesiji. Ako je polje prazno, nijedan filter ništa ne provodi i blokada dolazi odnekud drugdje.
Zatim pročitajte politiku koja posjeduje vrijednost, uključujući zadane vrijednosti, jer filter može biti naslijeđen, a ne zapisan tamo gdje gledate:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Uporedite naziv filtera na sesiji s ACL-om koji ste upravo uredili. ACL sličnog naziva koji korisnik nikada nije dobio ne može promijeniti politiku resursa te sesije, i to je najčešći razlog zašto promjena koja izgleda ispravno nema efekta.
Prioritet objašnjava ostalo. Za postavku filtera DAP zapis ima prednost pred atributima korisničkog imena, a atributi korisničkog imena prednost pred grupnom politikom. Kada sesija pokaže filter koji niste očekivali, potražite DAP politiku koja odgovara tom korisniku prije nego dirate grupu.
Podijeljena lista i filter su odvojena polja
Na ASA 9.x grupna politika drži split-tunnel-network-list i vpn-filter kao različite postavke, i vodič za grupne politike 9.22 dokumentuje ih odvojeno upravo zbog toga. Mrežna lista je putokaz za rutiranje klijentu; filter je lista kontrole pristupa koja se primjenjuje na dešifrirani saobraćaj.
Ta razlika je važna kada korisniku treba jedna HTTPS usluga u podmreži. Stavite podmrežu u podijeljenu listu da paketi uđu u tunel, zatim u filteru dozvolite samo tu uslugu. Proširivanje liste ruta ništa ne autorizira, a njeno skraćivanje nije mehanizam provedbe.
Provjerite je li ACL interfejsa uopće na putu
Dešifrirani saobraćaj udaljenog pristupa ne prolazi uvijek kroz ACL vanjskog interfejsa kako ljudi pretpostavljaju. Tamo gdje je sysopt connection permit-vpn omogućen, ASA primjenjuje svoj dokumentovani VPN zaobilazak za taj saobraćaj, dok primjenjivi VPN filteri i dalje važe nakon toga. Provjerite postavku pomoću show run all sysopt umjesto da zaključujete iz dijagrama topologije.
U svakom slučaju, vlastiti firewall odredišnog hosta i autorizacija aplikacije ostaju na putu. ASA pravilo koje dozvoljava TCP 443 ne čini da aplikacija prihvati korisnika.
Prihvatite promjenu i s odbijenom vezom
Samo dozvoljeni test dokazuje vrlo malo, jer ispravan tunel proizvodi isti prvi paket bez obzira postoji li filter. Otvorite namjeravanu uslugu s klijenta, zatim pokušajte odredište koje treba ostati zatvoreno i potvrdite da ne uspijeva iz pravog razloga.
Zabilježite četiri činjenice kada zatvorite tiket: prihvaćeni identitet, politiku i filter koje je sesija zaista dobila, odredišta u podijeljenoj listi i resurs do kojeg je korisnik smio dosegnuti. Te četiri objašnjavaju gdje se kontroliše saobraćaj, a da se lista ruta ne pretvori u firewall.
Ako usluga i dalje odbija nakon što je filter dozvoli, prijeđite na host: adresa za slušanje, firewall hosta i vlastito mapiranje korisnika u aplikaciji. Tunel je u tom trenutku odradio svoj posao, a dalje ASA promjene samo dodaju rizik.