ASA-ի ո՞ր կանոնն է տեսնում թրաֆիկը VPN-ի ապակոդավորումից հետո

Առաջին ենթադրությունը, որից պետք է հրաժարվել, այն է, թե կրիպտո ACL-ը մուտքի քաղաքականություն է։ Այդպես չէ։ Cisco ASA-ում այդ ցանկը պատասխանում է մեկ նեղ հարցի՝ որ փաթեթներն են արժանի պաշտպանության, և այդ պատասխանը ոչինչ չի ասում այն մասին, թե արդյոք ապակոդավորված փաթեթը կարող է հասնել հրամուրի հետևում գտնվող սերվերին։ Մուտքի մասին որոշվում է ավելի ուշ՝ ինտերֆեյսի քաղաքականությամբ, խմբի քաղաքականության ֆիլտրով կամ երկուսով էլ, կախված նրանից, թե ինչպես է կառուցվել թունելը։

Կրիպտո ACL-ը պատասխանում է այլ հարցի

Կրիպտո ACL-ը համապատասխանության ցանկ է։ Այն թունելին ասում է, թե ինչ գաղտնագրել երկու կողմերի միջև. այն փաթեթը, որը չի համապատասխանում դրան, ուղղակի պաշտպանված չէ։ Այն լայնացնելը փոխում է պաշտպանության շրջանակը և ուրիշ ոչինչ։

Այդ պատճառով այնտեղ ենթացանց ավելացնելը կարող է թունելը բարձրացնել, մինչդեռ բուն հավելվածը շարունակում է ձախողվել։ Թունելը վերևում է, որովհետև այժմ համապատասխանություն կա։ Հավելվածը շարունակում է ձախողվել, որովհետև այդ ցանկում ոչինչ ոչինչ չի թույլատրում։ Երկու տարբեր հարցեր, երկու տարբեր ցանկեր։

Ինչ է իրականում բաց թողնում շրջանցման կարգավորումը

sysopt connection permit-vpn թույլ է տալիս պաշտպանված թրաֆիկին բաց թողնել ինտերֆեյսի ACL-ի ստուգումը, որը հակառակ դեպքում կգործեր ներգնա կողմում։ Սա հարմարավետություն է VPN տեղակայումների համար, և այն գլոբալ է։ Այն չի դիպչում խմբի քաղաքականությանը և չի դիպչում օգտատիրոջ համար նախատեսված լիազորման ֆիլտրին։

Կարդացեք իրական արժեքը, ոչ թե ենթադրությունը. show running-config all sysopt տպում է կարգավորումը նույնիսկ այն դեպքում, երբ այն երբեք բացահայտ կերպով չի կարգավորվել, և հենց այնտեղից է սկսվում շատ շփոթություն։

Քանի որ կարգավորումը գլոբալ է, այն որպես արագ փորձարկում մեկ ձախողված ենթացանցում ստուգելը վատ փոխանակում է։ Այդ հրամուրի վրա յուրաքանչյուր այլ թունել կիսում է արդյունքը։ Պահեք այն գիտակցված փոփոխության համար՝ հետգնման պլանով։

Կարդացեք ֆիլտրը ապակոդավորման ուղղությամբ

LAN-to-LAN vpn-filter գրվում է թունելի տեսանկյունից, ոչ թե ինտերֆեյսի։ Հեռավոր ցանցը դրվում է աղբյուրի դիրքում, իսկ տեղական ցանցը՝ նպատակակետի դիրքում, որովհետև ապակոդավորումից հետո փաթեթը այդպես է երևում։ Այնուհետև նույն ֆիլտրը կրկին գնահատվում է հակառակ ուղղությամբ մինչև գաղտնագրումը, հասցեների դերերը փոխված։

Պորտերի պայմաններն ավելի մեծ ուշադրություն են արժանի, քան պատճենված ինտերֆեյսի ACL-ը, հենց այդ պատճառով։ Մեկ նպատակակետ պորտ թույլատրող կանոնը կարող է անկանխամտածված ազդեցություն ունենալ հակառակ ուղղությամբ, որտեղ նոր կապը օգտագործում է այդ պորտը որպես աղբյուր։ Նախքան ցանկը կառուցելը գրեք, թե որ կողմը կարող է սկսել, ինչ է իրական ծառայությունը, և որ կողմը պետք է փակ մնա։

Հաստատեք, թե որ ֆիլտրն է իրականում կցված. show running-config group-policy-ը և show vpn-sessiondb detail l2l-ը միասին ասում են, թե ինչ է ժառանգել սեսիան։ Այն ACL-ը խմբագրելը, որին ոչ մի քաղաքականություն չի հղում, ոչինչ չի փոխում։

Չօգտագործեք մեկ ACL օբյեկտ երկու աշխատանքի համար

Ինտերֆեյսի access-group-ը և vpn-filter-ը նույն տեսակի օբյեկտի տպավորություն են թողնում և գնահատվում են տարբեր կետերում՝ հասցեների տարբեր կողմնորոշմամբ։ Մեկ ցանկ երկուսին էլ հանձնելը հրավիրում է փոփոխության, որը վերականգնում է թունելը և լուռ թուլացնում ֆիզիկական ինտերֆեյսը։

Պահեք դրանք առանձին, անվանեք ըստ աշխատանքի, և թող ուղղության տարբերությունը տեսանելի լինի անուններում։

Ստուգեք նոր կապերով՝ երկու ուղղությամբ էլ

Պլանավորված փոփոխությունից հետո բացեք մեկ նոր կապ, որը պետք է թույլատրվի, և մեկ նոր կապ, որը պետք է մերժվի, ապա գրանցեք հասցեները, ուղղությունը և քաղաքականության համընկնումը արդյունքի հետ միասին։ Հաստատված սեսիան ոչինչ չի ապացուցում նոր կապերի զտման մասին, որովհետև այն արդեն թույլատրվել է հին կանոններով։

Հաշվի առեք նաև զննումը։ Մատակարարի փաստաթղթերը նշում են, որ VPN ֆիլտրը ստուգում է սկզբնական կապը, այլ ոչ թե յուրաքանչյուր երկրորդական կապ, որը բացում է զննման շարժիչը, ուստի կառավարման ալիքը և դրա հետ կապված մեդիա հոսքը կարող են տարբեր վերաբերմունք ստանալ։ Եթե հավելվածը ճանաչում է արձանագրությունը, փորձարկեք իրական հոսքը, այլ ոչ թե մեկ պորտի զոնդ։

Լայն շրջանցումից հետո օգտագործելի դարձած թունելը ասում է, որ սահմանափակումը հանվել է, ոչ թե կատարվել։ Պահելարժան արդյունքը անվանված կիրառման կետն է, որին կարող եք մատնանշել հաջորդ վերանայման ժամանակ։