Melyik ASA-szabály látja a forgalmat, miután a VPN visszafejtette

Az első feltevés, amelyet el kell vetni, hogy a kripto ACL hozzáférési házirend. Nem az. Egy Cisco ASA-n ez a lista egyetlen szűk kérdésre válaszol: mely csomagok érdemelnek védelmet, és ez a válasz semmit sem mond arról, hogy a visszafejtett csomag elérheti-e a tűzfal mögötti szervert. A hozzáférésről később döntenek, interfész-házirenddel, csoportházirend-szűrővel vagy mindkettővel, attól függően, hogyan épült fel az alagút.

A kripto ACL más kérdésre válaszol

A kripto ACL egyeztetési lista. Megmondja az alagútnak, mit kell titkosítani két fél között; az a csomag, amely nem egyezik vele, egyszerűen nem védett. A kiszélesítése a védelem hatókörét változtatja meg, és semmi mást.

Ezért egy alhálózat hozzáadása ott felhozhatja az alagutat, miközben a tényleges alkalmazás továbbra is meghiúsul. Az alagút azért van fent, mert most már létezik egyezés. Az alkalmazás azért hiúsul meg továbbra is, mert semmi sem engedélyez semmit abban a listában. Két különböző kérdés, két különböző lista.

Mit hagy ki valójában a megkerülési beállítás

sysopt connection permit-vpn engedi, hogy a védett forgalom kihagyja az interfész ACL-ellenőrzést, amely egyébként a bejövő oldalon érvényesülne. Ez kényelmi megoldás VPN-telepítésekhez, és globális. Nem érinti a csoportházirendet, és nem érinti a felhasználónkénti engedélyezési szűrőt.

A tényleges értéket olvassa ki, ne a feltevést: show running-config all sysopt akkor is kiírja a beállítást, amikor azt soha nem konfigurálták kifejezetten, és sok zavar innen indul.

Mivel a beállítás globális, gyors kísérletként tesztelni egyetlen hibás alhálózaton rossz üzlet. A tűzfal minden más alagútja osztozik az eredményen. Tartsa meg egy szándékos változtatásra, visszaállítási tervvel.

Olvassa a szűrőt a visszafejtés irányában

A LAN-to-LAN vpn-filter az alagút szemszögéből íródik, nem az interfészéből. A távoli hálózat a forrás pozíciójába kerül, a helyi hálózat pedig a cél pozíciójába, mert így néz ki a csomag visszafejtés után. Ugyanezt a szűrőt aztán a titkosítás előtt újra kiértékelik az ellenkező irányban, a címek szerepét megfordítva.

A portfeltételek több gondosságot érdemelnek, mint egy lemásolt interfész-ACL, éppen ezért. Egy célportot engedélyező szabály a fordított irányban nem szándékolt hatást fejthet ki, ahol egy új kapcsolat ezt a portot használja forrásként. Írja fel, melyik oldal kezdeményezhet, mi a tényleges szolgáltatás, és melyik félnek kell zárva maradnia, mielőtt felépíti a listát.

Erősítse meg, melyik szűrő van valóban hozzákapcsolva: show running-config group-policy és show vpn-sessiondb detail l2l együtt megmondja, mit örökölt a munkamenet. Egy ACL szerkesztése, amelyre egyetlen házirend sem hivatkozik, semmit sem változtat.

Ne használjon egy ACL-objektumot két feladatra

Egy interfész-access-group és egy vpn-filter ugyanolyan típusú objektumnak tűnik, és különböző pontokon, különböző címorientációval értékelődik ki. Egy lista mindkettőnek való hozzárendelése olyan változtatásra hív, amely megjavítja az alagutat, és csendesen meglazítja a fizikai interfészt.

Tartsa őket külön, nevezze el a feladatuk szerint, és tegye láthatóvá az iránykülönbséget a nevekben.

Ellenőrizze új kapcsolatokkal, mindkét irányban

Egy tervezett változtatás után nyisson egy új kapcsolatot, amelyet engedélyezni kell, és egy új kapcsolatot, amelyet el kell utasítani, majd jegyezze fel a címeket, az irányt és a házirend-egyezést az eredménnyel együtt. Egy létrejött munkamenet semmit sem bizonyít az új kapcsolatok szűréséről, mert már a régi szabályok szerint beengedték.

Számoljon az ellenőrzéssel is. A gyártó dokumentációja megjegyzi, hogy a VPN-szűrő a kezdeti kapcsolatot ellenőrzi, nem pedig minden másodlagos kapcsolatot, amelyet egy ellenőrző motor megnyit, így egy vezérlőcsatorna és a hozzá tartozó médiafolyam eltérő kezelést kaphat. Ha az alkalmazás ismeri a protokollt, a tényleges folyamot tesztelje egyetlen portpróba helyett.

Az az alagút, amely széles megkerülés után válik használhatóvá, azt mondja, hogy a korlátozást eltávolították, nem azt, hogy teljesült. A megtartásra érdemes eredmény egy megnevezett kényszerítési pont, amelyre a következő felülvizsgálatkor hivatkozhat.