VPN antar situs berfungsi, tetapi log ASA tidak datang: periksa alamat sumber

Host internal mencapai kolektor jarak jauh dan baris syslog mereka muncul. Pesan ASA sendiri tentang sesi yang sama tidak pernah tiba. Tidak ada yang salah dengan kolektor atau tunnel, dan itulah bagian yang membingungkan. Firewall mengirim log-nya dari sumber yang tidak pernah dibangun tunnel untuk melindunginya.

Apa yang datang dan apa yang tidak

Mulailah dengan memisahkan dua aliran yang tampak identik di dasbor. Lalu lintas yang diteruskan melewati ASA: host LAN mengirim ke kolektor, ASA mencocokkannya dengan kebijakan tunnel, mengenkripsinya, dan kolektor melihat alamat host. Lalu lintas yang dihasilkan dimulai pada ASA sendiri: perangkat membangun paket syslog, memilih antarmuka keluar dan sumber, lalu barulah bertanya apakah ada kebijakan tunnel yang cocok. Aliran pertama membuktikan tunnel berfungsi, dan tidak mengatakan apa pun tentang yang kedua.

Peristiwa yang di-buffer pada perangkat juga bukan bukti pengiriman jarak jauh, karena log bisa ada secara lokal dan tidak pernah dikirim. Periksa penghitung penerimaan kolektor sebelum menyalahkan tunnel, karena penghitung kosong adalah temuan yang berbeda dari yang bertambah.

Pesan yang dihasilkan bukan lalu lintas yang diteruskan

Saat ASA membuat paket sendiri, ia tidak memproksikan host LAN. Sumbernya berasal dari antarmuka keluar atau dari pengaturan sumber eksplisit, dan paket masuk ke pencarian rute serta pemeriksaan kebijakan yang sama seperti apa pun yang dikirim perangkat. Artinya, selektor VPN harus menyertakan alamat yang benar-benar dipakai ASA, dan itu sering antarmuka luarnya alih-alih subnet internal.

Jika kebijakan melindungi 10.20.0.0/24 dan ASA menggunakan alamat luarnya sebagai sumber, paket log entah keluar dalam teks jelas menuju kolektor yang tidak dapat dijangkau, atau dibuang. Kedua hasil tampak identik dari sisi kolektor. Penalaran yang sama berlaku untuk lalu lintas manajemen, karena itu management-access adalah keputusan desain tersendiri.

Sumber mana yang dipasang ASA di jaringan

Temukan sumbernya secara empiris, bukan dengan asumsi. Penangkapan pada antarmuka keluar selama pesan uji menunjukkan sumber dan tujuan sebenarnya, dan itu lebih hemat waktu daripada membaca tiga bagian konfigurasi. Bandingkan alamat itu dengan selektor lokal tunnel.

Beberapa rilis memungkinkan Anda menyematkan sumber log ke antarmuka, dan referensi perintah untuk versi Anda adalah otoritas soal apakah opsi itu ada dan apa yang diubahnya. Perintah source-interface dari platform Cisco lain tidak otomatis berlaku pada ASA.

Jika Anda mengubah sumbernya, ubah dengan sengaja dan catat, karena ACL kolektor dan korelasi apa pun yang dibangun di atas syslog bergantung padanya.

Cocokkan selektor dengan aliran log

Setelah sumber diketahui, periksa tiga hal secara berurutan: ACL kripto atau selektor berbasis kebijakan yang memutuskan lalu lintas mana yang menarik, rute yang memutuskan ke mana paket pergi, dan aturan NAT apa pun yang mungkin menulis ulang sumber sebelum enkripsi. Paket yang cocok dengan rute tetapi tidak dengan selektor tidak ditunnel, dan paket yang ditulis ulang NAT mungkin tidak cocok dengan keduanya.

Sisi kolektor punya persyaratan sendiri: ACL yang mengizinkan sumber ASA, rute balik, dan layanan yang mendengarkan pada port yang Anda konfigurasi. Transportasi juga penting di sini, karena pencatatan TCP dan TLS berperilaku berbeda dari UDP pada jalur yang sebagian diblokir. Ubah satu elemen setiap kali, atau penangkapan berikutnya tidak akan memberi tahu Anda perubahan mana yang penting.

Verifikasi di kolektor, lalu catat sumbernya

Pastikan pesan tiba, lalu tuliskan alamat sumber yang dipakai ASA, selektor yang membawanya, dan tingkat keparahan yang Anda gunakan untuk menguji.

Catatan itu mengubah perubahan ACL kolektor atau penyuntingan selektor berikutnya menjadi pemeriksaan dua menit alih-alih penemuan ulang. Catatan itu juga mendokumentasikan aliran mana dari dua aliran yang pernah divalidasi, dan itulah bagian yang paling sering dilewatkan runbook. Jika pesan masih tidak tiba, turunkan sementara ambang keparahan dan uji terhadap satu tujuan saja.

FAQ pencatatan ASA dari Cisco mendokumentasikan kasus dengan sumber luar yang membutuhkan definisi lalu lintas terlindungi yang sesuai, dan contoh sumber dalamnya mencakup host pencatatan di dalam sekaligus management-access di dalam. Perlakukan kombinasi terdokumentasi dan konteks perangkat lunak bersama-sama, alih-alih menganggap satu baris yang disalin cocok untuk setiap konfigurasi.

Tunnel yang membawa lalu lintas LAN bukan tunnel yang membawa suara firewall itu sendiri.