Hvers vegna fjarnotandi ASA nær undirnetinu en ekki forritinu
Leiðir sanna að göngin virka, ekki að notandinn megi opna forritið. Lestu síuna sem lotan fékk og prófaðu síðan leyfða og hafnaða tengingu.
Notandinn þinn tengist, fær vistfang, pingar netþjón í undirneti forritsins og getur samt ekki opnað þjónustuna á honum. Þessi samsetning er eðlileg á ASA, því árangursrík göng og nothæft leyfi ráðast af mismunandi stillingum. Listi skiptra ganga valdi hvaða áfangastaðir fóru í göngin; VPN-sía og eigin aðgangsreglur áfangastaðarins ráða því hvað dulrituð beiðnin má ná. Farðu í gegnum þrjár ákvarðanir í röð í stað þess að víkka leiðalistann þar til eitthvað breytist.
Þrjár ákvarðanir sem er auðvelt að rugla
Aðgangsheimild svarar því hvort notandinn megi yfirhöfuð byggja göngin: skilríki, vottorð og hvaða annar þáttur sem er. Leiðaval svarar því hvaða áfangastaði biðlarinn sendir inn í göngin. Heimild svarar því hvort dulritaða beiðnin megi ná þjónustunni. Aðeins sú þriðja framleiðir villuna sem notandinn tilkynnir.
Fljótleg leið til að greina þau er að spyrja hvað breyting myndi brjóta. Að fjarlægja leið úr skipta listanum stöðvar umferð til þess undirnets án þess að veita neitt; að bæta ACE við VPN-síuna veitir áfangastað án þess að breyta því sem biðlarinn göngutengir.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Lestu síuna sem lotan fékk í raun
Byrjaðu á lifandi lotunni en ekki stillingunni sem þú heldur að gildi. show vpn-sessiondb detail anyconnect prentar úthlutaða hópstefnu og nafn síunnar sem er tengd þeirri lotu. Ef reiturinn er tómur þá framfylgir engin sía neinu og blokkin kemur annars staðar frá.
Lestu síðan stefnuna sem á gildið, þar á meðal sjálfgefin gildi, því sía getur erftst frekar en verið skrifuð þar sem þú ert að horfa:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Berðu saman síanafnið á lotunni við ACL-inn sem þú varst að breyta. ACL með svipuðu nafni sem notandinn fékk aldrei getur ekki breytt auðlindastefnu þeirrar lotu, og þetta er algengasta ástæðan fyrir því að rétt útlit breyting hefur engin áhrif.
Forgangur skýrir restina. Fyrir sístillinguna hefur DAP-færsla forgang yfir eiginleika notandanafns, og eiginleikar notandanafns hafa forgang yfir hópstefnuna. Þegar lota sýnir síu sem þú áttir ekki von á, leitaðu að DAP-stefnu sem passar við þann notanda áður en þú snertir hópinn.
Skipti listinn og sían eru aðskildir reitir
Á ASA 9.x heldur hópstefnan split-tunnel-network-list og vpn-filter sem mismunandi stillingum, og leiðarvísir um hópstefnur 9.22 skjalfestir þær sérstaklega einmitt af þeirri ástæðu. Netlistinn er leiðarvísbending til biðlarans; sían er aðgangsstýrilisti sem er beitt á dulritaða umferð.
Þessi greinarmunur skiptir máli þegar notandi þarf eina HTTPS-þjónustu í undirneti. Setja undirnetið í skipta listann svo pakkarnir fari í göngin, leyfðu síðan aðeins þá þjónustu í sínni. Að víkka leiðalistann heimilar ekkert, og að minnka hann er ekki framfylgdaraðferð.
Athugaðu hvort viðmóts-ACL sé yfirhöfuð á leiðinni
Dulrituð fjaraðgangsumferð fer ekki alltaf um ACL ytra viðmótsins eins og fólk gerir ráð fyrir. Þar sem sysopt connection permit-vpn er virkt beitir ASA skjalfestri VPN-framhjáferð sinni á þá umferð, en gildandi VPN-síur gilda áfram eftir það. Athugaðu stillinguna með show run all sysopt í stað þess að rökstyðja út frá netlagsmyndinni.
Hvort sem er, þá er eigin eldveggur áfangastaðarins og heimild forritsins áfram á leiðinni. ASA-regla sem leyfir TCP 443 fær forritið ekki til að samþykkja notandann.
Samþykktu breytinguna líka með hafnaðri tengingu
Leyft próf eitt og sér sannar mjög lítið, því virk göng framleiða sama fyrsta pakkann hvort sem sía er til eða ekki. Opnaðu fyrirhugaða þjónustu frá biðlaranum, reyndu síðan áfangastað sem á að vera lokaður og staðfestu að hann mistakist af réttri ástæðu.
Skráðu fjórar staðreyndir þegar þú lokar miðanum: samþykkta auðkennið, stefnuna og sínna sem lotan fékk í raun, áfangastaðina í skipta listanum og auðlindina sem notandanum var leyft að ná. Þessar fjórar útskýra hvar umferðinni er stýrt án þess að breyta leiðalista í eldvegg.
Ef þjónustan neitar enn eftir að sían leyfir hana, farðu á hýsilinn: hlustunarheimilisfang, eldveggur hýsilsins og eigin notendavörpun forritsins. Göngin gerðu sitt þá, og frekari ASA-breytingar bæta aðeins við áhættu.