Erfir VPN-undirnet öryggisstig ASA-viðmótsins?

Afkóðað VPN-undirnet erfir aldrei öryggisstig viðmóts. Athugaðu sysopt connection permit-vpn, hópfilterinn og stjórnunaraðgang sérstaklega.

Einhver spyr hvort VPN-undirnet útibúsins hafi „öryggisstig 0 eða 100“ á ASAnum, og spurningin inniheldur þegar mistökin. Öryggisstig er eiginleiki staðbundins viðmóts og er úthlutað frá 0 til 100 í uppsetningu viðmótsins. Fjartengt undirnet sem kemur í gegnum göng fær ekkert, sama hvernig crypto map er skrifað. Þess vegna hefur spurningin ekkert tölulegt svar.

Hagnýta framhaldsspurningin er betri: hvaða stefna hleypir útibúinu að þjóninum og hver heldur því frá eldveggnum sjálfum. Þetta eru tvö svör, og ferlið hér að neðan aðgreinir þau.

Öryggisstig tilheyra viðmótum

Keyrðu show running-config interface og þú munt sjá security-level undir hverju líkamlegu viðmóti eða VLAN-viðmóti, ekki undir gönguhópnum eða crypto map. Sjálfgefna heimildin frá hærra til lægra er metin milli þessara viðmóta, og þess vegna breytir talan skoðunar- og óbeinu ACL-hegðuninni á þeirri slóð sem hún tilheyrir.

Fyrir afkóðað VPN-flæði er inngangurinn enn ytra viðmótið þar sem göngin enda, og útgangurinn er innra viðmótið í átt að þjóninum. Skrifaðu bæði niður áður en þú snertir neitt. Þetta eina skref fjarlægir mestan hluta ruglingsins, því það breytir óhlutbundinni traustsspurningu í viðmótspar.

ACL-framhjáleiðin hefur nafngreind mörk

sysopt connection permit-vpn er stillingin sem fólk man hálfvegis þegar það segir að VPN-umferð hunsar ACL. Hún sleppir vissulega viðmóts-ACL fyrir umferð sem telst VPN-umferð, og 9.x færibreytuleiðbeiningin afmarkar hana eftir viðmóti og stefnu í stað þess að lýsa yfir alþjóðlegri undantekningu.

Athugaðu hvað er stillt áður en þú rökræðir út frá minni:

  • show running-config all sysopt til að sjá raunverulegt gildi, ekki bara línurnar sem ekki eru sjálfgefnar.
  • show running-config access-group til að sjá hvaða ACL er beitt á hvaða viðmót og stefnu.
  • show vpn-sessiondb detail l2l til að staðfesta hvaða gönguhóp og filter setan notar í raun.

Að slökkva á þessari stilling til að herða VPN-aðgang er breyting með miklum áhrifum. Hún lætur hvert gilt VPN-flæði falla aftur undir ytra ACL, sem venjulega brýtur vinnandi göng á þann hátt sem tengist ekki útibúinu sem spurt var um.

Lestu filterinn sem fylgir setunni

Raunverulega stjórnin fyrir hver göng er VPN-filterinn: ACL sem hópstefna eða notendanafn vísar í, beitt eftir afkóðun og fyrir dulkóðun. Filter á notendastigi gengur framar gildinu á hópstigi, svo tveir í sama gönguhópi geta haft mismunandi raunverulegan aðgang.

Staðfestu forganginn í stað þess að gera ráð fyrir honum. show running-config group-policy <name> sýnir hópglidið, og show running-config username <name> sýnir hvort gildi fyrir hvern notanda sé til. Ef bæði eru til vinnur notendagildið. Berðu svo saman færslur þess ACL við flæðið sem þig varðar, í þá stefnu sem filterinn metur.

Filter sem leyfir forritshjóninn segir ekkert um stjórnun. Það eru aðskildar reglur á aðskilinni slóð.

Staðfestu eitt leyfi og eina synjun

Packet-tracer er fljótlegasta leiðin til að sjá ákvörðunina án þess að bíða eftir að notandi tilkynni hana. Gefðu því flæðið frá afkóðuðu hliðinni og láttu það nefna ACL-, NAT- og skoðunarstigin sem það fer í gegnum.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Lestu niðurstöðulínuna: hún nefnir ACL sem leyfði eða sleppti pakkanum.
  3. Endurtaktu með stjórnunarákvörðunarstaðnum á innra viðmótinu og staðfestu synjun.
  4. Endurtaktu einu sinni enn eftir hverja breytingu, svo bæði ástandið fyrir og eftir sé skráð.

Staðfestu svo með raunverulegri umferð: eina farsæla forritabeiðni frá útibúinu og eina misheppnaða SSH-tilraun til ASAns. Packet-tracer líkir eftir slóðinni; lifandi flæði sannar að líkanið passaði.

Afturkallaðu breytinguna sem fékk það til að virka

Ef lagfæringin var að slökkva á ACL-framhjáleiðinni eða víkka filter, haltu fyrri uppsetningu. Upptaka show run af viðkomandi hlutum, vistuð fyrir breytinguna, er nóg til að endurheimta þá; ASA-uppsetning er línumiðuð, svo afturköllun þýðir að slá inn gömlu línurnar aftur, ekki að endurheimta skrá.

Skráðu viðmótsparið, virka filterinn, ACL-nafnið úr packet-tracer og nákvæmu skipanirnar sem þú breyttir. Þessi skráning gerir næstu yfirferð að fimm mínútna athugun í stað enn einnar umræðu um trauststig.

Tengdir greinar