VPN milli staða virkar, en ASA-logg koma ekki: athugaðu upprunavistfangið

Innri hostar ná í fjartökumanninn og syslog-línur þeirra birtast. Skilaboð ASA sjálfs um sömu lotur koma aldrei. Ekkert er athugavert við tökumanninn eða göngin, og það er hið ruglingslega. Eldveggurinn sendir skrárnar sínar frá uppruna sem göngin voru aldrei byggð til að vernda.

Hvað kemur og hvað ekki

Byrjaðu á að aðskilja tvö streymi sem líta eins út á mælaborði. Framsend umferð fer í gegnum ASA: LAN-host sendir til tökumannsins, ASA ber það saman við stefnu ganganna, dulkóðar það, og tökumaðurinn sér vistfang hostsins. Mynduð umferð byrjar á ASA sjálfu: tækið byggir syslog-pakka, velur útgangsviðmót og uppruna og spyr aðeins þá hvort einhver stefna ganganna passi. Fyrsta streymið sannar að göngin virka, og það segir ekkert um hið annað.

Biðminnisatburður í tækinu er heldur ekki sönnun um fjarafhendingu, því skráin getur verið til staðar og aldrei verið send. Athugaðu móttökuteljara tökumannsins áður en þú kennir göngunum um, því tómur teljari er önnur niðurstaða en teljari sem stækkar.

Skilaboð sem eru mynduð eru ekki framsend umferð

Þegar ASA myndar pakka sjálft er það ekki að milliþjóna LAN-host. Uppruninn kemur frá útgangsviðmótinu eða frá skýrri upprunastillingu, og pakkinn fer í sömu leiðarleit og sömu stefnuathuganir og allt annað sem tækið sendir. Það þýðir að VPN-veljandinn verður að innihalda vistfangið sem ASA notar í raun, og það er oft ytra viðmót þess frekar en innra undirnet.

Ef stefnan verndar 10.20.0.0/24 og ASA notar ytra vistfang sitt sem uppruna, fer skráarpakkinn annaðhvort í skýrum texta í átt að tökumanni sem hann nær ekki til, eða honum er hent. Báðar niðurstöður líta eins út frá hlið tökumannsins. Sama röksemd á við um stjórnunarumferð, og þess vegna er management-access sérstök hönnunarákvörðun.

Hvaða uppruna ASA setur á netið

Finndu upprunann með reynslu en ekki með tilgátu. Upptaka á útgangsviðmótinu meðan á prófunarskilaboðum stendur sýnir raunverulegan uppruna og áfangastað, og hún tekur minni tíma en að lesa þrjá hluta stillinganna. Berðu það vistfang saman við staðbundinn veljanda ganganna.

Sumar útgáfur leyfa að festa uppruna skráningar við viðmót, og skipanaviðmið útgáfunnar þinnar er valdið um hvort sá valkostur sé til og hvað hann breyti. source-interface skipun frá annarri Cisco-vettvangi er ekki sjálfkrafa gild á ASA.

Ef þú breytir upprunanum skaltu gera það viljandi og skrá það, því ACL tökumannsins og hvaða fylgni sem byggð er á syslog veltur á því.

Lagaðu veljandann að skráarstreyminu

Þegar uppruninn er þekktur skaltu athuga þrjá hluti í röð: dulritunar-ACL eða stefnumiðaðan veljanda sem ákveður hvaða umferð er áhugaverð, leiðina sem ákveður hvert pakkinn fer, og hvaða NAT-reglu sem gæti endurskrifað upprunann fyrir dulkóðun. Pakki sem passar við leiðina en ekki veljandann fer ekki í gegnum göngin, og pakki sem NAT endurskrifar passar kannski við hvorki né.

Hlið tökumannsins hefur sínar eigin kröfur: ACL sem leyfir uppruna ASA, póstleið til baka og þjónusta sem hlustar á gáttina sem þú stilltir. Flutningur skiptir máli hér líka, því TCP og TLS skráning hegðar sér öðruvísi en UDP á að hluta lokaðri leið. Breyttu einum þætti í einu, annars segir næsta upptaka þér ekki hvaða breyting skipti máli.

Staðfestu hjá tökumanninum og skráðu síðan upprunann

Staðfestu að skilaboðin berist, skrifaðu síðan niður upprunavistfangið sem ASA notaði, veljandann sem bar þau og alvarleikann sem þú prófaðir með.

Sú skráning breytir næstu ACL-breytingu tökumannsins eða ritstjórn veljandans í tveggja mínútna athugun í stað enduruppgötvunar. Hún skjalfestir líka hvort streymið af tveimur var einhvern tíma staðfest, og það er hlutinn sem flestar runbook-skrár sleppa. Ef skilaboðin berast enn ekki skaltu lækka alvarleikamörkin tímabundið og prófa gegn einum áfangastað.

Cisco algengar spurningar um ASA-skráningu skjalfesta tilvik með ytri uppruna sem þarf samsvarandi skilgreiningu á verndaðri umferð, og dæmi þeirra með innri uppruna nær bæði til skráningarhosts að innan og management-access að innan. Meðhöndlaðu skjalfesta samsetninguna og hugbúnaðarsamhengið saman í stað þess að gera ráð fyrir að ein afrituð lína passi við hverja stillingu.

Göng sem flytja LAN-umferð eru ekki göng sem flytja rödd eldveggsins sjálfs.