რატომ გვერდს უვლიან ASA-ს TACACS+ მოთხოვნები თქვენი ფილიალის VPN გვირაბს

ფილიალის გვირაბი მუშაობს, მომხმარებლები ავთენტიფიკაციას გადიან დისტანციურ TACACS+ სერვერზე, თუმცა firewall-ის საკუთარი შესვლა კვლავ დროის ამოწურვით სრულდება. მიზეზი გვირაბის ხარვეზი არ არის: LAN-to-LAN გვირაბი გადააქვს იმ ტრაფიკს, რომელიც მის სელექტორებს ემთხვევა, ხოლო მართვის ტრაფიკი, რომელსაც ASA საკუთარ თავზე აგენერირებს, ცალკე ნაკადია საკუთარი წყაროს მისამართით. გუნდების უმეტესობა ამას ცვლილების ფანჯრის დროს აღმოაჩენს, როცა ერთადერთი ადმინისტრატორის ანგარიში სწორედ ის არის, რომელიც ვერ ახერხებს. მოეპყარით ASA-ს მიერ დაწყებულ AAA სესიას როგორც ნაკადს, რომელიც უნდა დააპროექტოთ და არა როგორც უკვე მომუშავე კავშირის გვერდით ეფექტს.

ASA თავად არის კლიენტი და მის საკუთარ ტრაფიკს საკუთარი გზა სჭირდება

როცა firewall უკავშირდება TACACS+ სერვერს, firewall ისეთივე კლიენტია, როგორც ნებისმიერი სხვა, გარდა იმისა, რომ მისთვის მარშრუტი განზრახ არავის დაუყენებია. მისი პაკეტები მოდის მოწყობილობის ინტერფეისის მისამართიდან, ისინი ლოკალურად იქმნება და არ გადაეცემა, და მათ სჭირდებათ მარშრუტიზაცია, ტრანსლაცია და პოლიტიკით დაცვა ზუსტად ისე, როგორც მომხმარებლის ტრაფიკს. საიტიდან საიტზე გვირაბი, რომელიც იცავს მომხმარებლის ქვექსელს, ავტომატურად არ იცავს ამ მართვის წყაროს, რადგან ტრაფიკის შერჩევა მისამართებს ეფუძნება და არა განზრახვას.

ჩაწერეთ მისამართი, რომელსაც ელოდებით, რომ სერვერი დაინახავს. თუ ერთ ხაზში ვერ ამბობთ, ჯერ დიზაინი არ გაქვთ.

aaa-server ხაზის ინტერფეისი მორთულობა არ არის

ASA-ზე aaa-server ჰოსტის ჩანაწერი იღებს ინტერფეისის კავშირს ფრჩხილებში, და Cisco-ს AAA ჰოსტის ბრძანებების ცნობარი აღწერს მას როგორც ინტერფეისს, სადაც ავთენტიფიკაციის სერვერი მდებარეობს. სწორედ ეს კავშირი აკავშირებს მოთხოვნას ინტერფეისთან და იმ პოლიტიკასთან, რომელსაც ეს ინტერფეისი იყენებს. მისი არჩევა ინტერნეტისკენ მიმართული ნებისმიერი ინტერფეისით, ან ბოლო მიგრაციისგან დარჩენილის დატოვება, ქმნის წყაროს მისამართს, რომლისთვისაც დისტანციური სერვერი და გვირაბი არასდროს აშენებულა.

inside მხოლოდ მაშინ არის სწორი პასუხი, როცა დასახელებულ ინტერფეისს აქვს ის მისამართი, რომლის გამოყენებასაც თქვენი დიზაინი წყაროდ აპირებს. ფილიალის მოწყობილობაზე ეს ხშირად ასეა; რამდენიმე კერძო სეგმენტის მქონე მოწყობილობაზე შეიძლება არა.

კავშირის შეცვლა ნიშნავს ჩანაწერის ხელახლა შექმნას

იგივე ბრძანებების ცნობარი ადასტურებს რედაქტირების შეზღუდვას, რომელიც ხალხს გადასვლების დროს უსწრებს: არსებულ ჰოსტზე ინტერფეისის შეცვლა მოითხოვს ჰოსტის ჩანაწერის წაშლას და ხელახლა შექმნას. რედაქტირებულად მოჩვენებული კონფიგურაცია შეიძლება ძალაში არ შესულიყო, და შემდეგი შესვლის მცდელობა მაინც ძველი მისამართიდან გავა. დაგეგმეთ ეს როგორც წაშლა და დამატება ორიგინალი ჩანაწერის ასლით თქვენს წინ, და არა როგორც ადგილზე შესწორება.

თუ რამდენიმე სერვერია განსაზღვრული, შეცვალეთ ერთი და შეამოწმეთ ის, სანამ დანარჩენებს შეეხებით, რათა შეცდომამ ერთდროულად ყველა ადმინისტრაციული გზა არ ჩაკეტოს.

შეამოწმეთ სელექტორები, ტრანსლაცია და დაბრუნების გზა ერთად

სამი რამ უნდა დაემთხვეს, რომ მოთხოვნამ მიაღწიოს. გვირაბის ტრაფიკის სელექტორებმა, ან გვირაბის ინტერფეისის დაცვამ, თუ იყენებთ, უნდა მოიცვას ASA-ს საკუთარი წყარო და სერვერის მისამართი; მომხმარებლის ქვექსელებისთვის აწყობილი სელექტორების სია ჩვეულებრივ ამას არ გააკეთებს. გზაზე არსებული ნებისმიერი NAT წესი თანმიმდევრულად უნდა თარგმნიდეს ამ წყაროს, რადგან სერვერი ავტორიზაციას უკეთებს ქსელური მოწყობილობის იდენტობას, რომელიც მოიცავს მის მიერ დანახულ მისამართს. და დაბრუნების გზა უნდა არსებობდეს, რაც პოლიტიკაზე დაფუძნებულ გვირაბში ნიშნავს, რომ შორეულ მხარეს აქვს შესაბამისი სელექტორი საპირისპირო მიმართულებით.

სერვერის მხარეს ცალ-ცალკე დაადასტურეთ მოწყობილობის იდენტობა, საერთო საიდუმლო და ადმინისტრაციული პოლიტიკა. TACACS+ ავთენტიფიკაციას, ავტორიზაციას და აღრიცხვას ცალკე ოპერაციებად ინახავს, ამიტომ დასრულებული გაცვლის შემდეგ მოსული უარი პოლიტიკის პასუხია და არა ტრანსპორტის ხარვეზი. მისი ქსელურ პრობლემად წაკითხვა არასწორ ადგილას გაგიშვებთ საძებნელად.

გამართვის დროს საიდუმლო მოარიდეთ პაკეტების ჩაწერას, ბილეთებს და ტრანსკრიპტებს, და გახსოვდეთ, რომ სერვერის მიერ დალოგილი წყაროს მისამართი ის არის, რომელიც თქვენმა დიზაინმა უნდა ახსნას.

გააკეთეთ ცვლილება საკუთარი თავის ჩაკეტვის გარეშე

გამოიყენეთ კონსოლი ან დამოუკიდებელი მართვის გზა დისტანციური ადმინისტრაციული ავთენტიფიკაციის შეცვლისას, და შეინახეთ დამტკიცებული ლოკალური სარეზერვო ვარიანტი, სანამ ახალი გზა ნამდვილ შესვლას არ გაატარებს. შემდეგ ვიწროდ გადაამოწმეთ: ერთი სერვერი, ერთი მოწყობილობა, ერთი წარმატებული ავთენტიფიკაცია ორივე მხარეს დაკვირვებული წყაროს მისამართით.

ჩაწერეთ ნაკადი მის საკუთარ გვერდზე: წარმოშობის ინტერფეისი და მისამართი, დისტანციური სერვერი, დაცული გზა და ადამიანი, რომელსაც ავტორიზაციის პოლიტიკა ეკუთვნის. შემდეგ ინტერფეისის ან გვირაბის მოგვიანო ცვლილება შეიძლება შეფასდეს იმის გამოცნობის გარეშე, თუ ორი ნაკადიდან რომელზე მოქმედებს ის.