サイト間 VPN は動くのに ASA のログが届かない: 送信元アドレスを確認する

内部ホストは遠隔のコレクタに到達し、その syslog 行が現れる。同じセッションについての ASA 自身のメッセージは決して届かない。コレクタにもトンネルにも問題はなく、それが混乱の原因である。ファイアウォールは、トンネルが守るために作られたことのない送信元からログを送っている。

何が届き、何が届かないか

ダッシュボード上で同じに見える 二つのフローを分けることから始める。転送トラフィックは ASA を通過する。LAN ホストがコレクタへ送り、ASA がそれをトンネルポリシーと照合して暗号化し、コレクタはホストのアドレスを見る。生成トラフィックは ASA 自身で始まる。装置が syslog パケットを組み立て、出力インターフェースと送信元を選び、その後に初めてトンネルポリシーに一致するかどうかを尋ねる。最初のフローはトンネルが動くことを証明するが、二つ目については何も語らない。

装置上でバッファされたイベントも遠隔配信の証拠ではない。ログはローカルに存在したまま一度も送信されていない可能性がある。トンネルを責める前にコレクタの受信カウンタを確認すること。空のカウンタは増え続けるカウンタとは別の所見である。

生成されたメッセージは転送トラフィックではない

ASA がパケットを生成するとき、それは LAN ホストのプロキシをしているわけではない。送信元は出力インターフェースか明示的な送信元設定から決まり、パケットは装置が送る他のすべてと同じ経路検索とポリシー検査に入る。つまり VPN セレクタには ASA が実際に使うアドレスを含める必要があり、それは多くの場合、内部サブネットではなく外部インターフェースである。

ポリシーが 10.20.0.0/24 を保護し、ASA が外部アドレスを送信元にする場合、ログパケットは到達できないコレクタへ平文で出ていくか、破棄される。どちらもコレクタ側から見れば同じに見える。同じ理屈は管理トラフィックにも当てはまり、だからこそ management-access は別の設計判断になる。

ASA がネットワークに載せる送信元

送信元は推測ではなく実測で見つける。テストメッセージ中の出力インターフェースでのキャプチャは実際の送信元と宛先を示し、設定を 三か所読むより時間がかからない。そのアドレスをトンネルのローカルセレクタと比べる。

一部のリリースではログの送信元をインターフェースに固定できる。そのオプションが存在するか、何が変わるかについては、お使いのバージョンのコマンドリファレンスが根拠になる。別の Cisco プラットフォームの source-interface コマンドが ASA で自動的に有効になるわけではない。

送信元を変更するなら、意図して行い、記録を残すこと。コレクタの ACL と syslog に基づく相関はそれに依存している。

セレクタをログのフローに合わせる

送信元が分かったら、三つを順に確認する。どのトラフィックを対象にするかを決める暗号 ACL またはポリシーベースのセレクタ、パケットの行き先を決める経路、暗号化の前に送信元を書き換えうる NAT ルールである。経路に一致してもセレクタに一致しないパケットはトンネルを通らず、NAT で書き換えられたパケットはどちらにも一致しないことがある。

コレクタ側にも独自の要件がある。ASA の送信元を許可する ACL、戻り経路、設定したポートで待ち受けるサービスである。転送方式も重要で、部分的に遮断された経路では TCP と TLS のログは UDP と挙動が異なる。一度に 一要素だけ変えること。そうしないと次のキャプチャでどの変更が効いたのか分からない。

コレクタで確認し、送信元を記録する

メッセージが届くことを確認し、ASA が使った送信元アドレス、それを運んだセレクタ、試した重大度を書き留める。

その記録があれば、次にコレクタの ACL を変えるときやセレクタを編集するときは、再発見ではなく 二分の確認で済む。二つのフローのどちらが検証済みなのかも記録され、これは多くの手順書が落としている部分である。それでもメッセージが届かない場合は、重大度のしきい値を一時的に下げ、単一の宛先に対して試す。

Cisco の ASA ログに関する FAQ は、外部を送信元とするケースで対応する保護トラフィック定義が必要だと示しており、内部を送信元とする例では内部のログホストと内部の management-access の両方を含んでいる。文書化された組み合わせとソフトウェアの文脈を一緒に扱うこと。コピーした 一行がどの設定にも合うと決めつけてはいけない。

LAN トラフィックを運ぶトンネルは、ファイアウォール自身の声を運ぶトンネルではない。