Կայքերի միջև VPN-ն աշխատում է, բայց ASA-ի մատյանները չեն հասնում. ստուգեք աղբյուրի հասցեն

Ներքին հոսթերը հասնում են հեռավոր հավաքիչին և նրանց syslog տողերը հայտնվում են։ ASA-ի սեփական հաղորդագրությունները այդ նույն սեսիաների մասին երբեք չեն հասնում։ Ոչ հավաքիչի, ոչ թունելի հետ որևէ բան սխալ չէ, և հենց դա է շփոթեցնողը։ Firewall-ն ուղարկում է իր մատյանները աղբյուրից, որը թունելը երբեք չի կառուցվել պաշտպանելու համար։

Ինչ է հասնում և ինչ ոչ

Սկսեք առանձնացնելով երկու հոսք, որոնք վահանակի վրա նույնական են թվում։ Փոխանցված թրաֆիկը անցնում է ASA-ով. LAN հոսթը ուղարկում է հավաքիչին, ASA-ն համեմատում է այն թունելի քաղաքականության հետ, գաղտնագրում է, և հավաքիչը տեսնում է հոսթի հասցեն։ Առաջացված թրաֆիկը սկսվում է հենց ASA-ի վրա. սարքը կառուցում է syslog փաթեթ, ընտրում ելքային ինտերֆեյս և աղբյուր, և միայն դրանից հետո հարցնում՝ արդյոք որևէ թունելի քաղաքականություն համընկնում է։ Առաջին հոսքը ապացուցում է, որ թունելն աշխատում է, և երկրորդի մասին ոչինչ չի ասում։

Սարքում բուֆերացված իրադարձությունը նույնպես հեռավոր առաքման ապացույց չէ, քանի որ մատյանը կարող է գոյություն ունենալ տեղայնորեն և երբեք չուղարկվել։ Ստուգեք հավաքիչի ընդունման հաշվիչները նախքան թունելին մեղադրելը, որովհետև դատարկ հաշվիչը այլ եզրակացություն է, քան աճողը։

Առաջացված հաղորդագրությունը փոխանցված թրաֆիկ չէ

Երբ ASA-ն ինքն է առաջացնում փաթեթ, այն LAN հոսթի փոխարեն հանդես չի գալիս։ Աղբյուրը գալիս է ելքային ինտերֆեյսից կամ հստակ աղբյուրի կարգավորումից, և փաթեթը մտնում է նույն երթուղու որոնման և նույն քաղաքականության ստուգումների մեջ, ինչ սարքի ուղարկած ամեն ինչ։ Դա նշանակում է, որ VPN ընտրիչը պետք է ներառի այն հասցեն, որն ASA-ն իրականում օգտագործում է, և դա հաճախ նրա արտաքին ինտերֆեյսն է, ոչ թե ներքին ենթացանց։

Եթե քաղաքականությունը պաշտպանում է 10.20.0.0/24-ը, և ASA-ն որպես աղբյուր օգտագործում է իր արտաքին հասցեն, ապա մատյանի փաթեթը կա՛մ դուրս է գալիս բաց տեքստով դեպի հավաքիչ, որին չի կարող հասնել, կա՛մ դեն է նետվում։ Երկու արդյունքները հավաքիչի կողմից նույնական են թվում։ Նույն տրամաբանությունը վերաբերում է նաև կառավարման թրաֆիկին, և այդ պատճառով management-access-ը առանձին նախագծային որոշում է։

Որ աղբյուրն է ASA-ն դնում ցանցում

Գտեք աղբյուրը էմպիրիկ եղանակով, ոչ ենթադրությամբ։ Ելքային ինտերֆեյսի վրա փորձնական հաղորդագրության ընթացքում կատարված գրառումը ցույց է տալիս իրական աղբյուրն ու նպատակակետը, և այն ավելի քիչ ժամանակ է խլում, քան կոնֆիգուրացիայի երեք բաժին կարդալը։ Համեմատեք այդ հասցեն թունելի տեղական ընտրիչի հետ։

Որոշ տարբերակներ թույլ են տալիս ամրացնել մատյանի աղբյուրը ինտերֆեյսին, և ձեր տարբերակի հրամանների տեղեկագիրքը հեղինակավոր է այն հարցում, թե արդյոք այդ ընտրանքը գոյություն ունի և ինչ է փոխում։ Այլ Cisco հարթակի source-interface հրամանը ինքնաբերաբար վավեր չէ ASA-ի վրա։

Եթե փոխեք աղբյուրը, արեք դա գիտակցաբար և գրանցեք, որովհետև հավաքիչի ACL-ները և syslog-ի վրա կառուցված ցանկացած կորելացիա կախված են դրանից։

Համապատասխանեցրեք ընտրիչը մատյանի հոսքին

Երբ աղբյուրը հայտնի է, ստուգեք երեք բան հերթով. այն կրիպտո ACL-ը կամ քաղաքականության վրա հիմնված ընտրիչը, որը որոշում է, թե որ թրաֆիկն է հետաքրքիր, երթուղին, որը որոշում է, թե ուր է գնում փաթեթը, և ցանկացած NAT կանոն, որը կարող է վերագրել աղբյուրը գաղտնագրումից առաջ։ Երթուղուն համապատասխանող, բայց ընտրիչին չհամապատասխանող փաթեթը թունելով չի անցնում, և NAT-ի վերագրած փաթեթը կարող է չհամապատասխանել դրանցից ոչ մեկին։

Հավաքիչի կողմն ունի իր պահանջները՝ ACL, որը թույլ է տալիս ASA-ի աղբյուրը, վերադարձի երթուղի և լսող ծառայություն այն պորտում, որը կարգավորել եք։ Փոխադրումն այստեղ նույնպես կարևոր է, որովհետև TCP և TLS մատյանագրումը այլ կերպ է վարվում, քան UDP-ն մասամբ արգելափակված ուղու վրա։ Փոխեք մեկ տարր միաժամանակ, այլապես հաջորդ գրառումը չի ասի, թե որ փոփոխությունն էր կարևոր։

Ստուգեք հավաքիչի մոտ, ապա գրանցեք աղբյուրը

Հաստատեք, որ հաղորդագրությունը հասնում է, ապա գրեք ASA-ի օգտագործած աղբյուրի հասցեն, այն ընտրիչը, որը տեղափոխել է այն, և այն լրջությունը, որով փորձարկել եք։

Այդ գրառումը հավաքիչի հաջորդ ACL փոփոխությունը կամ ընտրիչի խմբագրումը դարձնում է երկու րոպեի ստուգում՝ վերագտնելու փոխարեն։ Այն նաև փաստագրում է, թե երկու հոսքերից որն է երբևէ վավերացվել, և հենց այդ մասն են բաց թողնում ձեռնարկների մեծ մասը։ Եթե հաղորդագրությունը դեռ չի հասնում, ժամանակավորապես իջեցրեք լրջության շեմը և փորձարկեք մեկ նպատակակետի դեմ։

Cisco-ի ASA մատյանագրման հաճախ տրվող հարցերը փաստագրում են արտաքին աղբյուրով դեպք, որը պահանջում է պաշտպանված թրաֆիկի համապատասխան սահմանում, և նրա ներքին աղբյուրով օրինակը ներառում է և՛ մատյանի հոսթ ներսում, և՛ management-access ներսում։ Մոտեցեք փաստագրված համակցությանը և ծրագրային համատեքստին միասին, փոխարենը ենթադրելու, որ մեկ պատճենված տողը համապատասխանում է ամեն կոնֆիգուրացիայի։

LAN թրաֆիկ կրող թունելը այն թունելը չէ, որը կրում է firewall-ի սեփական ձայնը։