რომელი ASA წესი ხედავს ტრაფიკს მას შემდეგ, რაც VPN მას გაშიფრავს

პირველი დაშვება, რომელიც უნდა მოიშოროთ, არის ის, რომ კრიპტო ACL წვდომის პოლიტიკაა. ასე არ არის. Cisco ASA-ზე ეს სია ერთ ვიწრო კითხვას პასუხობს: რომელი პაკეტები იმსახურებენ დაცვას, და ეს პასუხი არაფერს ამბობს იმაზე, შეიძლება თუ არა გაშიფრული პაკეტი მივიდეს ქსელური ფარის უკან მდგარ სერვერამდე. წვდომაზე გადაწყვეტილება მოგვიანებით მიიღება — ინტერფეისის პოლიტიკით, ჯგუფური პოლიტიკის ფილტრით ან ორივეთი, იმის მიხედვით, როგორ აშენდა გვირაბი.

კრიპტო ACL სხვა კითხვას პასუხობს

კრიპტო ACL შესატყვისობის სიაა. ის გვირაბს ეუბნება, რა უნდა დაიშიფროს ორ მხარეს შორის; პაკეტი, რომელიც მას არ ემთხვევა, უბრალოდ არ არის დაცული. მისი გაფართოება ცვლის დაცვის მოცულობას და სხვა არაფერს.

ამიტომ იქ ქვექსელის დამატებამ შეიძლება გვირაბი აამაღლოს, მაშინ როცა თავად აპლიკაცია კვლავ ვერ მუშაობს. გვირაბი ზევითაა, რადგან ახლა შესატყვისობა არსებობს. აპლიკაცია კვლავ ვერ მუშაობს, რადგან ამ სიაში არაფერი არაფერს უშვებს. ორი სხვადასხვა კითხვა, ორი სხვადასხვა სია.

რას გამოტოვებს სინამდვილეში გვერდის ავლის პარამეტრი

sysopt connection permit-vpn დაცულ ტრაფიკს აძლევს საშუალებას გამოტოვოს ინტერფეისის ACL-ის შემოწმება, რომელიც სხვაგვარად შემავალ მხარეს იმოქმედებდა. ეს მოხერხებულობაა VPN-ის განლაგებისთვის და გლობალურია. ის არ ეხება ჯგუფურ პოლიტიკას და არ ეხება მომხმარებლის მიხედვით ავტორიზაციის ფილტრს.

წაიკითხეთ რეალური მნიშვნელობა და არა დაშვება: show running-config all sysopt ბეჭდავს პარამეტრს მაშინაც კი, როცა ის არასოდეს ყოფილა ცალსახად კონფიგურირებული, და სწორედ იქ იწყება დიდი დაბნეულობა.

რადგან პარამეტრი გლობალურია, მისი შემოწმება სწრაფ ექსპერიმენტად ერთ წარუმატებელ ქვექსელზე ცუდი გაცვლაა. ამ ქსელურ ფარზე ყველა სხვა გვირაბი შედეგს იზიარებს. შეინახეთ ის გააზრებული ცვლილებისთვის, უკან დაბრუნების გეგმით.

წაიკითხეთ ფილტრი გაშიფვრის მიმართულებით

LAN-to-LAN vpn-filter იწერება გვირაბის თვალსაზრისით და არა ინტერფეისის. დისტანციური ქსელი წყაროს პოზიციაზეა, ხოლო ლოკალური ქსელი დანიშნულების პოზიციაზე, რადგან გაშიფვრის შემდეგ პაკეტი ასე გამოიყურება. შემდეგ იგივე ფილტრი კვლავ შეფასდება საპირისპირო მიმართულებით დაშიფვრამდე, მისამართების როლები შეცვლილი.

პორტის პირობები უფრო მეტ ყურადღებას იმსახურებს, ვიდრე კოპირებული ინტერფეისის ACL, სწორედ ამ მიზეზით. ერთი დანიშნულების პორტის დამშვები წესი შეიძლება არასასურველად იმოქმედოს საპირისპირო მიმართულებით, სადაც ახალი კავშირი ამ პორტს წყაროდ იყენებს. სანამ სიას ააგებთ, ჩაწერეთ, რომელ მხარეს შეუძლია დაწყება, რა არის რეალური სერვისი და რომელი მოწინააღმდეგე უნდა დარჩეს დახურული.

დაადასტურეთ, რომელი ფილტრია რეალურად მიმაგრებული: show running-config group-policy და show vpn-sessiondb detail l2l ერთად გეტყვიან, რა მიიღო სესიამ მემკვიდრეობით. იმ ACL-ის რედაქტირება, რომელზეც არც ერთი პოლიტიკა არ მიუთითებს, არაფერს ცვლის.

არ გამოიყენოთ ერთი ACL ობიექტი ორი სამუშაოსთვის

ინტერფეისის access-group და vpn-filter ერთი და იმავე ტიპის ობიექტად გამოიყურება და სხვადასხვა წერტილში, მისამართების სხვადასხვა ორიენტაციით ფასდება. ერთი სიის ორივესთვის მიცემა იწვევს ცვლილებას, რომელიც გვირაბს ასწორებს და ფიზიკურ ინტერფეისს ჩუმად აუფხვიერებს.

შეინახეთ ისინი ცალკე, დაარქვით სახელები მათი სამუშაოს მიხედვით და მიმართულების სხვაობა სახელებში ხილული გახადეთ.

შეამოწმეთ ახალი კავშირებით, ორივე მიმართულებით

დაგეგმილი ცვლილების შემდეგ გახსენით ერთი ახალი კავშირი, რომელიც უნდა დაშვდეს, და ერთი ახალი კავშირი, რომელიც უნდა უარყოფილ იქნას, შემდეგ ჩაწერეთ მისამართები, მიმართულება და პოლიტიკის შესატყვისობა შედეგთან ერთად. დამყარებული სესია არაფერს ამტკიცებს ახალი კავშირების ფილტრაციის შესახებ, რადგან ის უკვე ძველი წესებით იქნა მიღებული.

გაითვალისწინეთ ინსპექტირებაც. მწარმოებლის დოკუმენტაცია აღნიშნავს, რომ VPN ფილტრი ამოწმებს საწყის კავშირს და არა ყოველ მეორად კავშირს, რომელსაც ინსპექტირების ძრავა ხსნის, ამიტომ საკონტროლო არხმა და მასთან დაკავშირებულმა მედია ნაკადმა შეიძლება განსხვავებული მოპყრობა მიიღოს. თუ აპლიკაცია პროტოკოლს იცნობს, შეამოწმეთ რეალური ნაკადი და არა ერთი პორტის ზონდი.

გვირაბი, რომელიც ფართო გვერდის ავლის შემდეგ გამოსადეგი ხდება, გეუბნებათ, რომ შეზღუდვა მოიხსნა და არა რომ ის დაკმაყოფილდა. შესანარჩუნებელი შედეგი არის დასახელებული აღსრულების წერტილი, რომელზეც შემდეგ მიმოხილვაში მიუთითებთ.