Aturan ASA mana yang melihat lalu lintas setelah VPN mendekripsinya

Asumsi pertama yang harus dilepas adalah bahwa ACL crypto adalah kebijakan akses. Bukan. Pada Cisco ASA, daftar itu menjawab satu pertanyaan sempit: paket mana yang layak dilindungi, dan jawaban itu tidak mengatakan apa pun tentang apakah paket yang didekripsi boleh mencapai server di balik firewall. Akses diputuskan kemudian, oleh kebijakan antarmuka, oleh filter kebijakan grup, atau keduanya, tergantung bagaimana tunnel dibangun.

ACL crypto menjawab pertanyaan yang berbeda

ACL crypto adalah daftar pencocokan. Ia memberi tahu tunnel apa yang harus dienkripsi antara dua peer; paket yang tidak cocok dengannya memang tidak terlindungi. Memperluasnya mengubah cakupan perlindungan dan tidak yang lain.

Itu sebabnya menambahkan subnet di sana dapat membuat tunnel naik sementara aplikasi sebenarnya tetap gagal. Tunnel naik karena pencocokan kini ada. Aplikasi tetap gagal karena tidak ada apa pun dalam daftar itu yang mengizinkan apa pun. Dua pertanyaan berbeda, dijawab oleh dua daftar berbeda.

Apa yang sebenarnya dilewati oleh pengaturan bypass

sysopt connection permit-vpn membuat lalu lintas terproteksi melewati pemeriksaan ACL antarmuka yang seharusnya berlaku di sisi masuk. Ini kemudahan untuk penerapan VPN, dan bersifat global. Ia tidak menyentuh kebijakan grup, dan tidak menyentuh filter otorisasi per pengguna.

Baca nilai sebenarnya, bukan asumsinya: show running-config all sysopt mencetak pengaturan itu bahkan ketika belum pernah dikonfigurasi secara eksplisit, dan di situlah banyak kebingungan dimulai.

Karena pengaturannya global, mengujinya sebagai eksperimen cepat pada satu subnet yang gagal adalah pertukaran buruk. Setiap tunnel lain di firewall itu berbagi hasilnya. Simpan untuk perubahan yang disengaja dengan rencana pengembalian.

Baca filter dalam arah dekripsi

Sebuah vpn-filter LAN-to-LAN ditulis dari sudut pandang tunnel, bukan antarmuka. Jaringan jauh berada di posisi sumber dan jaringan lokal di posisi tujuan, karena begitulah tampilan paket setelah dekripsi. Filter yang sama lalu dievaluasi lagi dalam arah berlawanan sebelum enkripsi, dengan peran alamat dibalik.

Ketentuan port perlu lebih hati-hati daripada ACL antarmuka yang disalin, justru karena itu. Aturan yang mengizinkan satu port tujuan dapat berefek tak diinginkan di arah sebaliknya, di mana koneksi baru memakai port itu sebagai sumbernya. Tuliskan sisi mana yang boleh memulai, layanan sebenarnya, dan pihak lawan yang harus tetap tertutup sebelum Anda menyusun daftar.

Pastikan filter mana yang benar-benar terpasang: show running-config group-policy dan show vpn-sessiondb detail l2l bersama-sama memberi tahu apa yang diwarisi sesi. Menyunting ACL yang tidak dirujuk kebijakan mana pun tidak mengubah apa pun.

Jangan memakai satu objek ACL untuk dua pekerjaan

access-group antarmuka dan vpn-filter tampak seperti jenis objek yang sama dan dievaluasi pada titik berbeda dengan orientasi alamat berbeda. Menetapkan satu daftar ke keduanya mengundang perubahan yang memperbaiki tunnel dan diam-diam melonggarkan antarmuka fisik.

Pisahkan keduanya, beri nama sesuai pekerjaannya, dan buat perbedaan arah terlihat dalam nama.

Verifikasi dengan koneksi baru, di kedua arah

Setelah perubahan terencana, buka satu koneksi baru yang seharusnya diizinkan dan satu koneksi baru yang seharusnya ditolak, lalu catat alamat, arah, dan kecocokan kebijakan bersama hasilnya. Sesi yang sudah terbentuk tidak membuktikan apa pun tentang penyaringan koneksi baru, karena sesi itu sudah diterima dengan aturan lama.

Perhitungkan juga inspeksi. Dokumentasi vendor mencatat bahwa filter VPN memeriksa koneksi awal, bukan setiap koneksi sekunder yang dibuka mesin inspeksi, sehingga kanal kontrol dan aliran media terkaitnya dapat menerima perlakuan berbeda. Jika aplikasi sadar protokol, uji aliran sebenarnya, bukan satu probe port.

Tunnel yang menjadi bisa dipakai setelah bypass lebar memberitahu Anda bahwa pembatasannya dihapus, bukan bahwa pembatasan itu terpenuhi. Hasil yang layak dipertahankan adalah titik penegakan bernama yang bisa Anda tunjuk pada tinjauan berikutnya.