Apakah Subnet VPN Mendapatkan Level Keamanan Antarmuka ASA?

Seseorang bertanya apakah subnet VPN cabang memiliki «level keamanan 0 atau 100» di ASA, dan pertanyaannya sudah mengandung kesalahan. Level keamanan adalah properti antarmuka lokal, yang ditetapkan 0 hingga 100 dalam konfigurasi antarmuka. Subnet jarak jauh yang datang melalui terowongan tidak memperolehnya, tidak peduli bagaimana crypto map ditulis. Karena itu pertanyaannya tidak punya jawaban numerik.

Pertanyaan praktis berikutnya lebih baik: kebijakan mana yang mengizinkan cabang ke server, dan mana yang menjauhkannya dari firewall itu sendiri. Itu dua jawaban, dan prosedur di bawah memisahkan keduanya.

Level keamanan milik antarmuka

Jalankan show running-config interface dan Anda akan melihat security-level di bawah setiap antarmuka fisik atau antarmuka VLAN, bukan di bawah grup terowongan atau crypto map. Izin default dari tinggi ke rendah dievaluasi di antara antarmuka tersebut, itulah sebabnya angka itu mengubah perilaku inspeksi dan ACL implisit pada jalur yang menjadi miliknya.

Untuk aliran VPN yang didekripsi, ingress tetap antarmuka outside tempat terowongan berakhir, dan egress adalah antarmuka inside menuju server. Tuliskan keduanya sebelum Anda menyentuh apa pun. Langkah tunggal itu menghilangkan sebagian besar kebingungan, karena mengubah pertanyaan kepercayaan yang abstrak menjadi pasangan antarmuka.

Pelewatan ACL punya batas bernama

sysopt connection permit-vpn adalah pengaturan yang setengah diingat orang saat mereka mengatakan lalu lintas VPN mengabaikan ACL. Pengaturan itu memang melewati ACL antarmuka untuk lalu lintas yang memenuhi syarat sebagai lalu lintas VPN, dan panduan parameter 9.x membatasinya per antarmuka dan arah alih-alih menyatakan pengecualian global.

Periksa apa yang dikonfigurasi sebelum bernalar dari ingatan:

• show running-config all sysopt untuk melihat nilai efektif, bukan hanya baris non-default.
• show running-config access-group untuk melihat ACL mana yang diterapkan ke antarmuka dan arah mana.
• show vpn-sessiondb detail l2l untuk memastikan grup terowongan dan filter mana yang benar-benar dipakai sesi.

Mematikan pengaturan itu untuk memperketat akses VPN adalah perubahan berdampak besar. Pengaturan itu menundukkan kembali setiap aliran VPN yang memenuhi syarat ke ACL luar, yang biasanya merusak terowongan yang berfungsi dengan cara yang tidak terkait dengan cabang yang ditanyakan.

Baca filter yang terlampir pada sesi

Kontrol sebenarnya per terowongan adalah filter VPN: ACL yang dirujuk kebijakan grup atau nama pengguna, diterapkan setelah dekripsi dan sebelum enkripsi. Filter tingkat pengguna menimpa nilai tingkat grup, sehingga dua orang di grup terowongan yang sama dapat memiliki akses efektif berbeda.

Pastikan prioritasnya alih-alih mengasumsikannya. show running-config group-policy <name> menampilkan nilai grup, dan show running-config username <name> menampilkan apakah ada nilai per pengguna. Jika keduanya ada, nilai pengguna menang. Lalu bandingkan entri ACL itu dengan aliran yang Anda pedulikan, dalam arah yang dievaluasi filter.

Filter yang mengizinkan server aplikasi tidak mengatakan apa pun tentang manajemen. Itu aturan terpisah di jalur terpisah.

Verifikasi satu izin dan satu penolakan

Packet-tracer adalah cara tercepat untuk melihat keputusan tanpa menunggu pengguna melaporkannya. Beri ia aliran dari sisi terdekripsi dan biarkan ia menyebutkan tahap ACL, NAT, dan inspeksi yang dilaluinya.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Baca baris hasil: ia menyebutkan ACL yang mengizinkan atau menolak paket.
3. Ulangi dengan tujuan administratif di antarmuka inside dan pastikan ada penolakan.
4. Ulangi sekali lagi setelah setiap perubahan, agar keadaan sebelum dan sesudah keduanya tercatat.

Lalu verifikasi dengan lalu lintas nyata: satu permintaan aplikasi yang berhasil dari cabang dan satu upaya SSH yang gagal ke ASA. Packet-tracer memodelkan jalur; aliran langsung membuktikan model itu cocok.

Kembalikan perubahan yang membuatnya berhasil

Jika perbaikannya adalah menonaktifkan pelewatan ACL atau memperluas filter, pertahankan konfigurasi sebelumnya. Tangkapan show run objek yang terdampak, disimpan sebelum perubahan, cukup untuk memulihkannya; konfigurasi ASA berorientasi baris, jadi mengembalikan berarti memasukkan kembali baris lama, bukan memulihkan berkas.

Catat pasangan antarmuka, filter efektif, nama ACL dari packet-tracer, dan perintah tepat yang Anda ubah. Catatan itu mengubah tinjauan berikutnya menjadi pemeriksaan lima menit alih-alih perdebatan lain tentang level kepercayaan.