საიტებს შორის VPN მუშაობს, მაგრამ ASA-ის ჟურნალები არ მოდის: შეამოწმეთ წყაროს მისამართი

შიდა ჰოსტები აღწევენ დისტანციურ შემგროვებელს და მათი syslog ხაზები ჩნდება. ASA-ის საკუთარი შეტყობინებები ამავე სესიებზე არასოდეს მოდის. არც შემგროვებელში და არც გვირაბში არაფერია არასწორი, და სწორედ ეს არის დამაბნეველი. firewall-ი თავის ჟურნალებს აგზავნის წყაროდან, რომლის დასაცავადაც გვირაბი არასოდეს აშენებულა.

რა მოდის და რა არა

დაიწყეთ ორი ნაკადის გამოყოფით, რომლებიც დაფაზე იდენტურად გამოიყურება. გადაცემული ტრაფიკი გადის ASA-ზე: LAN ჰოსტი აგზავნის შემგროვებელთან, ASA ადარებს მას გვირაბის პოლიტიკას, შიფრავს და შემგროვებელი ხედავს ჰოსტის მისამართს. გენერირებული ტრაფიკი იწყება თავად ASA-ზე: მოწყობილობა აწყობს syslog პაკეტს, ირჩევს გამავალ ინტერფეისს და წყაროს და მხოლოდ ამის შემდეგ ეკითხება, ემთხვევა თუ არა რომელიმე გვირაბის პოლიტიკა. პირველი ნაკადი ამტკიცებს, რომ გვირაბი მუშაობს, და მეორეზე არაფერს ამბობს.

მოწყობილობაზე ბუფერში შენახული მოვლენა ასევე არ არის დისტანციური მიწოდების მტკიცებულება, რადგან ჟურნალი შეიძლება ლოკალურად არსებობდეს და არასოდეს გაგზავნილიყოს. შეამოწმეთ შემგროვებლის მიღების მრიცხველები, სანამ გვირაბს დაადანაშაულებთ, რადგან ცარიელი მრიცხველი სხვა დაკვირვებაა, ვიდრე მზარდი.

გენერირებული შეტყობინება გადაცემული ტრაფიკი არ არის

როდესაც ASA თავად აგენერირებს პაკეტს, ის LAN ჰოსტის პროქსი არ არის. წყარო მოდის გამავალი ინტერფეისიდან ან აშკარა წყაროს პარამეტრიდან, და პაკეტი შედის იმავე მარშრუტის ძიებასა და იმავე პოლიტიკის შემოწმებებში, როგორც ყველაფერი სხვა, რასაც მოწყობილობა აგზავნის. ეს ნიშნავს, რომ VPN სელექტორმა უნდა მოიცავდეს იმ მისამართს, რომელსაც ASA რეალურად იყენებს, და ეს ხშირად მისი გარე ინტერფეისია და არა შიდა ქვექსელი.

თუ პოლიტიკა იცავს 10.20.0.0/24-ს და ASA წყაროდ თავის გარე მისამართს იყენებს, ჟურნალის პაკეტი ან ღია ტექსტით გადის შემგროვებლისკენ, რომელსაც ვერ აღწევს, ან უგულებელყოფილია. ორივე შედეგი შემგროვებლის მხრიდან იდენტურად გამოიყურება. იგივე მსჯელობა ეხება მართვის ტრაფიკს, ამიტომ management-access ცალკე დიზაინის გადაწყვეტილებაა.

რომელ წყაროს აყენებს ASA ქსელში

იპოვეთ წყარო ემპირიულად და არა ვარაუდით. გამავალ ინტერფეისზე ჩაწერა სატესტო შეტყობინების დროს აჩვენებს რეალურ წყაროსა და დანიშნულებას, და ეს ნაკლებ დროს მოითხოვს, ვიდრე კონფიგურაციის სამი განყოფილების წაკითხვა. შეადარეთ ეს მისამართი გვირაბის ლოკალურ სელექტორს.

ზოგიერთი ვერსია საშუალებას გაძლევთ ჟურნალის წყარო ინტერფეისზე მიამაგროთ, და თქვენი ვერსიის ბრძანებების ცნობარია ავტორიტეტი იმაში, არსებობს თუ არა ეს პარამეტრი და რას ცვლის. სხვა Cisco პლატფორმის source-interface ბრძანება ASA-ზე ავტომატურად არ მოქმედებს.

თუ წყაროს შეცვლით, გააკეთეთ ეს განზრახ და ჩაიწერეთ, რადგან შემგროვებლის ACL-ები და syslog-ზე დაფუძნებული ნებისმიერი კორელაცია მასზეა დამოკიდებული.

შეუსაბამეთ სელექტორი ჟურნალის ნაკადს

როცა წყარო ცნობილია, შეამოწმეთ სამი რამ თანმიმდევრობით: კრიპტო ACL ან პოლიტიკაზე დაფუძნებული სელექტორი, რომელიც წყვეტს, რომელი ტრაფიკია საინტერესო, მარშრუტი, რომელიც წყვეტს, სად მიდის პაკეტი, და ნებისმიერი NAT წესი, რომელმაც შეიძლება წყარო გადაწეროს შიფრამდე. მარშრუტს რომ შეესაბამება, მაგრამ სელექტორს არა, ის პაკეტი გვირაბში არ გადის, და NAT-ით გადაწერილი პაკეტი შეიძლება არც ერთს არ შეესაბამებოდეს.

შემგროვებლის მხარეს თავისი მოთხოვნები აქვს: ACL, რომელიც ASA-ის წყაროს უშვებს, დაბრუნების მარშრუტი და მოსმენის სერვისი იმ პორტზე, რომელიც დააკონფიგურირეთ. ტრანსპორტს აქაც აქვს მნიშვნელობა, რადგან TCP და TLS ჟურნალირება სხვაგვარად იქცევა, ვიდრე UDP ნაწილობრივ დაბლოკილ გზაზე. შეცვალეთ ერთი ელემენტი ერთდროულად, თორემ შემდეგი ჩაწერა ვერ გეტყვით, რომელი ცვლილება იყო მნიშვნელოვანი.

გადაამოწმეთ შემგროვებელთან, შემდეგ ჩაწერეთ წყარო

დაადასტურეთ, რომ შეტყობინება მოდის, შემდეგ ჩაწერეთ ASA-ის მიერ გამოყენებული წყაროს მისამართი, სელექტორი, რომელმაც ის გადაიტანა, და სიმძიმე, რომლითაც ტესტავდით.

ეს ჩანაწერი შემგროვებლის შემდეგ ACL ცვლილებას ან სელექტორის რედაქტირებას ხდის ორწუთიან შემოწმებად ხელახალი აღმოჩენის ნაცვლად. ის ასევე აფიქსირებს, ორი ნაკადიდან რომელი იქნა ოდესმე ვალიდირებული, და სწორედ ამ ნაწილს გამოტოვებს უმეტესი სახელმძღვანელო. თუ შეტყობინება მაინც არ მოდის, დროებით შეამცირეთ სიმძიმის ზღვარი და შეამოწმეთ ერთ დანიშნულებაზე.

Cisco-ს ASA ჟურნალირების ხშირად დასმული კითხვები აფიქსირებს გარე წყაროს მქონე შემთხვევას, რომელსაც შესაბამისი დაცული ტრაფიკის განმარტება სჭირდება, და მისი შიდა წყაროს მაგალითი მოიცავს როგორც შიდა ჟურნალის ჰოსტს, ისე შიდა management-access-ს. მოეპყარით დოკუმენტირებულ კომბინაციას და პროგრამული კონტექსტს ერთად, ნაცვლად იმისა, რომ ჩათვალოთ ერთი კოპირებული ხაზი ყველა კონფიგურაციისთვის შესაფერისად.

LAN ტრაფიკის მატარებელი გვირაბი არ არის ის გვირაბი, რომელიც firewall-ის საკუთარ ხმას ატარებს.