ASA自身のTACACS+リクエストが支店VPNトンネルを通らない理由

支店トンネルは上がっており、ユーザーはリモートのTACACS+サーバーで認証できています。それなのにファイアウォール自身のログインはタイムアウトします。原因はトンネルの不具合ではありません。LAN-to-LANトンネルはセレクタに一致する通信だけを運び、ASAが自分自身について生成する管理通信は、独自の送信元アドレスを持つ別のフローです。多くのチームは変更作業の時間帯にこれに気づきます。唯一の管理者アカウントがまさに失敗するからです。ASAが開始するAAAセッションは、すでに動いている接続の副作用ではなく、設計すべきフローとして扱ってください。

ASAがクライアントであり、自身の通信には専用の経路が必要

ファイアウォールがTACACS+サーバーに接続するとき、ファイアウォールは他のクライアントと同じ立場です。ただし、誰も意識してそのためのルートを設定していません。パケットは装置上のインターフェースアドレスから発生し、転送ではなくローカルで生成され、ユーザー通信とまったく同じようにルーティング、変換、ポリシーによる保護を受ける必要があります。ユーザーサブネットを保護するサイト間トンネルは、その管理用の送信元を自動的に保護しません。通信の選択はアドレスに基づくもので、意図に基づくものではないからです。

サーバーが見るはずのアドレスを書き出してください。一行で言えないなら、まだ設計がありません。

aaa-server行のインターフェースは飾りではない

ASAでは、aaa-server のホストエントリが括弧内でインターフェースの関連付けを受け取り、CiscoのAAAホストコマンドリファレンスはそれを認証サーバーが存在するインターフェースとして説明しています。この関連付けが、リクエストをインターフェースと、そのインターフェースが適用するポリシーに結び付けます。インターネット側のインターフェースで選んだり、前回の移行で残ったものをそのままにしたりすると、リモートサーバーとトンネルが想定していない送信元アドレスになります。

insideが正解になるのは、指定したインターフェースが設計上の送信元として使いたいアドレスを持っている場合だけです。支店の装置では多くの場合そうですが、複数のプライベートセグメントを持つ装置ではそうでないことがあります。

関連付けの変更はエントリの作り直しを意味する

同じコマンドリファレンスは、切り替え作業中に人を悩ませる編集上の制約を記しています。既存ホストのインターフェースを変更するには、ホストエントリを削除して作り直す必要があります。編集したように見える設定が反映されていないことがあり、次のログイン試行も古いアドレスから出ていきます。目の前に元のエントリのコピーを置き、その場の修正ではなく削除と追加として計画してください。

複数のサーバーが定義されている場合は、一つを変更して試験してから残りに触れてください。誤りがすべての管理経路を一度に塞がないようにするためです。

セレクタ、変換、戻り経路をまとめて確認する

リクエストが届くには三つの条件が一致する必要があります。トンネルの通信セレクタ、またはトンネルインターフェース保護を使っているならそれに、ASA自身の送信元とサーバーのアドレスが含まれていなければなりません。ユーザーサブネット向けに作られたセレクタ一覧では通常含まれません。経路上のNATルールはその送信元を一貫して変換する必要があります。サーバーは自分が見るアドレスを含むネットワーク機器の識別を許可するからです。そして戻り経路が必要です。ポリシーベースのトンネルでは、対向側に逆方向の一致するセレクタがあることを意味します。

サーバー側では、機器の識別、共有シークレット、管理ポリシーをそれぞれ別に確認してください。TACACS+は認証、認可、アカウンティングを別々の操作として扱うため、やり取りが完了した後に届く拒否はポリシーの回答であり、転送の障害ではありません。これをネットワークの問題と読むと、見当違いの場所を探すことになります。

デバッグ中はシークレットをパケットキャプチャ、チケット、記録から外し、サーバーが記録する送信元アドレスこそが設計で説明すべきアドレスであることを忘れないでください。

自分を締め出さずに変更する

リモートの管理認証を変更する間はコンソールか独立した管理経路を使い、新しい経路で実際のログインが通るまで、承認済みのローカル代替手段を確保しておきます。その後は狭く検証します。サーバー一つ、装置一つ、両端で観測した送信元アドレスを伴う成功した認証一つです。

このフローは専用のページに記録します。起点のインターフェースとアドレス、リモートサーバー、保護された経路、認可ポリシーの所有者です。そうすれば、後日のインターフェースやトンネルの変更が二つのフローのどちらに影響するかを推測せずに評価できます。