Hvaða ASA-regla sér umferðina eftir að VPN hefur afkóðað hana

Fyrsta forsendan sem á að sleppa er sú að dulritunar-ACL sé aðgangsstefna. Það er ekki. Á Cisco ASA svarar þessi listi einni þröngri spurningu: hvaða pakkar eiga skilið vernd, og það svar segir ekkert um hvort afkóðaði pakkinn megi ná til þjónsins bak við eldvegginn. Aðgangur er ákveðinn síðar, af stefnu viðmóts, af síu hópstefnu eða af báðum, eftir því hvernig göngin voru byggð.

Dulritunar-ACL svarar annarri spurningu

Dulritunar-ACL er samsvörunarlisti. Hann segir göngunum hvað á að dulrita milli tveggja jafningja; pakki sem passar ekki við hann er einfaldlega ekki varinn. Að víkka hann breytir umfangi verndar og engu öðru.

Þess vegna getur viðbót undirnets þar fengið göng upp á meðan raunverulega forritið mistekst enn. Göngin eru uppi því samsvörun er nú til staðar. Forritið mistekst enn því ekkert á þeim lista leyfir neitt. Tvær ólíkar spurningar, svaraðar af tveimur ólíkum listum.

Hvað framhjáhlaupstillagið sleppir í raun

sysopt connection permit-vpn leyfir varinni umferð að sleppa ACL-prófun viðmótsins sem annars gilti á innkomandi hlið. Það er þægindi fyrir VPN-uppsetningar og er alþjóðlegt. Það snertir ekki hópstefnuna og snertir ekki leyfissíu fyrir hvern notanda.

Lestu raunverulega gildið í stað forsendunnar: show running-config all sysopt prentar stillinguna jafnvel þótt hún hafi aldrei verið stillt skýrt, og þaðan byrjar mikil ringulreið.

Þar sem stillingin er alþjóðleg er slæmt skipti að prófa hana sem hratt tilraun á einu biluðu undirneti. Hver önnur göng á þeim eldvegg deila niðurstöðunni. Geymdu hana fyrir yfirlögðu breytingu með afturköllunaráætlun.

Lestu síuna í afkóðunarstefnunni

LAN-to-LAN vpn-filter er skrifuð frá sjónarhóli gagnanna, ekki viðmótsins. Fjarnetið fer í upprunastöðu og staðarnetið í áfangastaðastöðu, því þannig lítur pakkinn út eftir afkóðun. Sama sía er síðan metin aftur í gagnstæða stefnu fyrir dulritun, með hlutverk heimilisfanganna víxluð.

Portskilyrði eiga skilið meiri natni en afritað ACL viðmóts, einmitt þess vegna. Regla sem leyfir einn áfangastaðarport getur haft óætluð áhrif í öfuga stefnu, þar sem ný tenging notar þann port sem uppruna sinn. Skrifaðu niður hvaða hlið má hefja, raunverulega þjónustuna og mótaðilann sem verður að vera lokaður áður en þú byggir listann.

Staðfestu hvaða sía er í raun tengd: show running-config group-policy og show vpn-sessiondb detail l2l segja saman hvað lotan erfði. Að breyta ACL sem engin stefna vísar í breytir engu.

Endurnýttu ekki eitt ACL-hlut fyrir tvö verk

Viðmóts-access-group og vpn-filter líta út eins og sama tegund hlutar og eru metin á ólíkum stöðum með ólíka heimilisfangsstefnu. Að úthluta einum lista til beggja býður breytingu sem lagar göngin og losar hljóðlega um líkamlega viðmótið.

Haltu þeim aðskildum, nefndu þau eftir verkum sínum og láttu stefnumuninn sjást í nöfnunum.

Sannreyndu með nýjum tengingum, í báðar stefnur

Eftir fyrirhugaða breytingu skaltu opna eina nýja tengingu sem á að leyfa og eina nýja tengingu sem á að synja, og skráðu síðan heimilisföngin, stefnuna og stefnusamsvörunina ásamt niðurstöðunni. Uppsett lota sannar ekkert um síun nýrra tenginga, því hún var þegar hleypt inn samkvæmt gömlu reglunum.

Reiknaðu líka með skoðun. Skjöl framleiðandans taka fram að VPN-sía prófi upphaflegu tenginguna en ekki hverja aukatengingu sem skoðunarvél opnar, svo stjórnrás og tilheyrandi miðstraumur geta fengið aðra meðferð. Ef forritið þekkir samskiptareglurnar skaltu prófa raunverulega strauminn í stað einnar portprufu.

Göng sem verða nothæf eftir víðtækt framhjáhlaup segja að takmörkunin hafi verið fjarlægð, ekki að henni hafi verið fullnægt. Niðurstaðan sem er þess virði að halda er nafngreindur framfylgjanarpunktur sem þú getur bent á í næstu endurskoðun.