A helyek közötti VPN működik, de az ASA naplói nem érkeznek: ellenőrizze a forrás címet

A belső hosztok elérik a távoli gyűjtőt, és megjelennek a syslog-soraik. Az ASA saját üzenetei ugyanazokról a munkamenetekről soha nem érkeznek meg. Sem a gyűjtővel, sem az alagúttal nincs baj, és éppen ez a zavaró rész. A tűzfal olyan forrásból küldi a naplóit, amelynek védelmére az alagút soha nem épült.

Mi érkezik meg és mi nem

Kezdje két olyan folyam szétválasztásával, amelyek az irányítópulton azonosnak tűnnek. A továbbított forgalom áthalad az ASA-n: egy LAN-hoszt a gyűjtőnek küld, az ASA összeveti az alagút szabályával, titkosítja, és a gyűjtő a hoszt címét látja. A generált forgalom magán az ASA-n indul: az eszköz syslog-csomagot épít, kiválaszt egy kimenő interfészt és forrást, és csak ezután kérdezi meg, hogy illeszkedik-e bármelyik alagútszabály. Az első folyam bizonyítja, hogy az alagút működik, a másodikról pedig semmit nem mond.

Az eszközön pufferelt esemény szintén nem bizonyíték a távoli kézbesítésre, mert a napló létezhet helyben, és soha nem küldték el. Ellenőrizze a gyűjtő fogadási számlálóit, mielőtt az alagutat hibáztatja, mert az üres számláló más megállapítás, mint a növekvő.

A generált üzenet nem továbbított forgalom

Amikor az ASA maga generál csomagot, nem proxy egy LAN-hosztot. A forrás a kimenő interfészről vagy egy kifejezett forrásbeállításból származik, és a csomag ugyanabba az útvonalkeresésbe és ugyanazokba a szabályellenőrzésekbe kerül, mint bármi más, amit az eszköz küld. Ez azt jelenti, hogy a VPN-szelektornak tartalmaznia kell azt a címet, amelyet az ASA valójában használ, és ez gyakran a külső interfésze, nem egy belső alhálózat.

Ha a szabály a 10.20.0.0/24-et védi, és az ASA a külső címét használja forrásként, a naplócsomag vagy nyílt szövegben lép ki egy olyan gyűjtő felé, amelyet nem tud elérni, vagy eldobják. Mindkét eredmény azonosnak látszik a gyűjtő oldaláról. Ugyanez a gondolatmenet vonatkozik a felügyeleti forgalomra, ezért a management-access külön tervezési döntés.

Melyik forrást teszi az ASA a hálózatra

Tapasztalati úton találja meg a forrást, ne feltételezéssel. A kimenő interfészen végzett rögzítés egy tesztüzenet alatt megmutatja a tényleges forrást és célt, és kevesebb időt vesz igénybe, mint három konfigurációs szakasz elolvasása. Hasonlítsa össze ezt a címet az alagút helyi szelektorával.

Egyes kiadások lehetővé teszik, hogy a naplózási forrást egy interfészhez rögzítse, és az Ön verziójának parancsreferenciája a mérvadó abban, hogy létezik-e ez a lehetőség, és mit változtat. Egy másik Cisco-platform source-interface parancsa nem automatikusan érvényes az ASA-n.

Ha módosítja a forrást, tegye azt szándékosan, és jegyezze fel, mert a gyűjtő ACL-jei és minden syslogra épülő korreláció ettől függ.

Igazítsa a szelektort a naplófolyamhoz

Ha a forrás ismert, három dolgot ellenőrizzen sorrendben: a kripto ACL-t vagy szabályalapú szelektort, amely eldönti, melyik forgalom érdekes, az útvonalat, amely eldönti, hová megy a csomag, és minden NAT-szabályt, amely átírhatja a forrást a titkosítás előtt. Az útvonalhoz illeszkedő, de a szelektorhoz nem illeszkedő csomag nem megy át az alagúton, és a NAT által átírt csomag egyikhez sem illeszkedhet.

A gyűjtő oldalának saját követelményei vannak: egy ACL, amely engedélyezi az ASA forrását, egy visszatérési útvonal és egy figyelő szolgáltatás a beállított porton. A szállítás itt is számít, mert a TCP- és TLS-naplózás másképp viselkedik, mint az UDP egy részben blokkolt útvonalon. Egyszerre egy elemet változtasson, különben a következő rögzítés nem mondja meg, melyik változás számított.

Ellenőrizze a gyűjtőnél, majd jegyezze fel a forrást

Erősítse meg, hogy az üzenet megérkezik, majd írja fel a forráscímet, amelyet az ASA használt, a szelektort, amely szállította, és a súlyosságot, amellyel tesztelt.

Ez a feljegyzés a gyűjtő következő ACL-módosítását vagy a szelektor szerkesztését kétperces ellenőrzéssé teszi újrafelfedezés helyett. Azt is dokumentálja, hogy a két folyam közül melyiket validálták valaha, és éppen ezt a részt hagyják ki a legtöbb runbookban. Ha az üzenet még mindig nem érkezik, ideiglenesen csökkentse a súlyossági küszöböt, és egyetlen célpont ellen teszteljen.

A Cisco ASA-naplózással kapcsolatos GYIK-je dokumentál egy külső forrású esetet, amelyhez a megfelelő védett forgalmi definíció kell, és belső forrású példája mind a belső naplóhosztot, mind a belső management-access-t tartalmazza. Kezelje a dokumentált kombinációt és a szoftverkörnyezetet együtt, ahelyett hogy feltételezné, hogy egy másolt sor minden konfigurációhoz illik.

Az LAN-forgalmat szállító alagút nem azonos a tűzfal saját hangját szállító alagúttal.