Արդյո՞ք VPN ենթացանցը ստանում է ASA ինտերֆեյսի անվտանգության մակարդակը։

Ինչ-որ մեկը հարցնում է՝ արդյո՞ք մասնաճյուղի VPN ենթացանցը ASA-ում ունի «անվտանգության մակարդակ 0 կամ 100», և հարցն արդեն իսկ պարունակում է սխալը։ Անվտանգության մակարդակը տեղային ինտերֆեյսի հատկություն է և ինտերֆեյսի կազմաձևման մեջ նշանակվում է 0-ից 100։ Թունելով եկող հեռավոր ենթացանցը ոչ մի մակարդակ չի ստանում, ինչպես էլ գրված լինի crypto map-ը։ Այդ պատճառով հարցը թվային պատասխան չունի։

Գործնական հաջորդ հարցն ավելի լավն է՝ ո՞ր քաղաքականությունն է մասնաճյուղին թույլ տալիս հասնել սերվերին, և ո՞րն է այն հեռու պահում հենց firewall-ից։ Դրանք երկու պատասխան են, և ստորև ներկայացված ընթացակարգը բաժանում է դրանք։

Անվտանգության մակարդակները պատկանում են ինտերֆեյսներին

Գործարկեք show running-config interface և կտեսնեք security-level յուրաքանչյուր ֆիզիկական կամ VLAN ինտերֆեյսի տակ, ոչ թունելի խմբի կամ crypto map-ի տակ։ Բարձրից ցածր լռելյայն թույլտվությունը գնահատվում է այդ ինտերֆեյսների միջև, այդ պատճառով թիվը փոխում է ստուգման և անուղղակի ACL-ի վարքը այն ուղու վրա, որին պատկանում է։

Ապակոդավորված VPN հոսքի համար մուտքը դեռ outside ինտերֆեյսն է, որտեղ ավարտվում է թունելը, իսկ ելքը՝ դեպի սերվեր տանող inside ինտերֆեյսը։ Երկուսն էլ գրի առեք, նախքան որևէ բանի դիպչելը։ Այդ մեկ քայլը վերացնում է շփոթության մեծ մասը, որովհետև վերացական վստահության հարցը վերածում է ինտերֆեյսների զույգի։

ACL-ի շրջանցումն անուն ունեցող սահման ունի

sysopt connection permit-vpn այն կարգավորումն է, որը մարդիկ կիսով չափ հիշում են, երբ ասում են, որ VPN երթևեկությունը անտեսում է ACL-ները։ Այն իսկապես բաց է թողնում ինտերֆեյսի ACL-ը VPN երթևեկություն համարվող երթևեկության համար, և 9.x պարամետրերի ուղեցույցը սահմանափակում է այն ըստ ինտերֆեյսի և ուղղության՝ փոխարենը չհայտարարելով գլոբալ բացառություն։

Ստուգեք, թե ինչ է կազմաձևված, նախքան հիշողությունից դատելը՝

• show running-config all sysopt՝ փաստացի արժեքը տեսնելու համար, ոչ միայն ոչ լռելյայն տողերը։
• show running-config access-group՝ տեսնելու, թե որ ACL-ն է կիրառված որ ինտերֆեյսի և ուղղության վրա։
• show vpn-sessiondb detail l2l՝ հաստատելու, թե որ թունելի խումբն ու զտիչն է իրականում օգտագործում նիստը։

Այդ կարգավորումն անջատելը VPN հասանելիությունը խստացնելու համար մեծ ազդեցության փոփոխություն է։ Այն կրկին ենթարկում է յուրաքանչյուր համապատասխան VPN հոսք արտաքին ACL-ին, ինչը սովորաբար կոտրում է աշխատող թունելները այնպիսի ձևերով, որոնք կապ չունեն ձեզ հարցրած մասնաճյուղի հետ։

Կարդացեք նիստին կցված զտիչը

Իրական կառավարումը յուրաքանչյուր թունելի համար VPN զտիչն է՝ ACL, որին հղվում է խմբի քաղաքականությունը կամ օգտանունը, կիրառվում է ապակոդավորումից հետո և կոդավորումից առաջ։ Օգտատիրոջ մակարդակի զտիչը վերացնում է խմբի մակարդակի արժեքը, այնպես որ նույն թունելի խմբի երկու մարդիկ կարող են տարբեր փաստացի հասանելիություն ունենալ։

Հաստատեք առաջնահերթությունը՝ փոխարենը չենթադրելով այն։ show running-config group-policy <name> ցույց է տալիս խմբի արժեքը, իսկ show running-config username <name>՝ արդյոք գոյություն ունի օգտատիրոջ արժեք։ Եթե երկուսն էլ կան, հաղթում է օգտատիրոջ արժեքը։ Ապա համեմատեք այդ ACL-ի գրառումները ձեզ հետաքրքրող հոսքի հետ՝ այն ուղղությամբ, որով գնահատում է զտիչը։

Ծրագրային սերվերը թույլատրող զտիչը ոչինչ չի ասում կառավարման մասին։ Դրանք առանձին կանոններ են առանձին ուղու վրա։

Ստուգեք մեկ թույլտվություն և մեկ մերժում

Packet-tracer-ը որոշումը տեսնելու ամենաարագ ճանապարհն է՝ չսպասելով, որ օգտատերը հաղորդի այն։ Տվեք նրան ապակոդավորված կողմի հոսքը և թողեք նշի ACL-ի, NAT-ի և ստուգման այն փուլերը, որոնցով անցնում է։

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Կարդացեք արդյունքի տողը՝ այն նշում է այն ACL-ը, որը թույլատրել կամ գցել է փաթեթը։
3. Կրկնեք inside ինտերֆեյսի վրա վարչական նպատակակետով և հաստատեք մերժում։
4. Կրկնեք ևս մեկ անգամ ցանկացած փոփոխությունից հետո, որպեսզի գրանցվեն և՛ նախկին, և՛ հաջորդ վիճակները։

Ապա ստուգեք իրական երթևեկությամբ՝ մեկ հաջող ծրագրային հարցում մասնաճյուղից և մեկ ձախողված SSH փորձ դեպի ASA։ Packet-tracer-ը մոդելավորում է ուղին, իսկ կենդանի հոսքն ապացուցում է, որ մոդելը համընկել է։

Հետարկեք այն փոփոխությունը, որը ստիպեց աշխատել

Եթե լուծումը ACL-ի շրջանցումն անջատելն էր կամ զտիչը լայնացնելը, պահպանեք նախորդ կազմաձևը։ Փոփոխությունից առաջ պահված ազդակիր օբյեկտների show run գրառումը բավական է դրանք վերականգնելու համար, ASA-ի կազմաձևը տողային է, ուստի վերադարձը նշանակում է հին տողերը նորից մուտքագրել, ոչ թե ֆայլ վերականգնել։

Գրանցեք ինտերֆեյսների զույգը, գործող զտիչը, packet-tracer-ից ստացված ACL-ի անունը և ձեր փոփոխած ճշգրիտ հրահանգները։ Այդ գրառումը հաջորդ ստուգատեսը դարձնում է հինգ րոպեանոց զննում՝ վստահության մակարդակների շուրջ հերթական վեճի փոխարեն։