იღებს თუ არა VPN ქვექსელი ASA-ის ინტერფეისის უსაფრთხოების დონეს?

გაშიფრული VPN ქვექსელი არასოდეს მემკვიდრეობით იღებს ინტერფეისის უსაფრთხოების დონეს. ცალ-ცალკე შეამოწმეთ sysopt connection permit-vpn, ჯგუფის ფილტრი და მართვის წვდომა.

ვიღაც კითხულობს, აქვს თუ არა ფილიალის VPN ქვექსელს ASA-ზე «უსაფრთხოების დონე 0 ან 100», და კითხვა უკვე შეიცავს შეცდომას. უსაფრთხოების დონე ლოკალური ინტერფეისის თვისებაა და ინტერფეისის კონფიგურაციაში 0-დან 100-მდე ენიჭება. გვირაბით მომავალი დისტანციური ქვექსელი ვერ იღებს მას, როგორც არ უნდა იყოს დაწერილი crypto map. ამიტომ კითხვას რიცხვითი პასუხი არ აქვს.

პრაქტიკული შემდეგი კითხვა უკეთესია: რომელი პოლიტიკა უშვებს ფილიალს სერვერთან და რომელი აშორებს მას თავად firewall-ისგან. ეს ორი პასუხია და ქვემოთ მოცემული პროცედურა ჰყოფს მათ.

უსაფრთხოების დონეები ინტერფეისებს ეკუთვნის

გაუშვით show running-config interface და დაინახავთ security-level ყოველი ფიზიკური ან VLAN ინტერფეისის ქვეშ, არა გვირაბის ჯგუფის ან crypto map-ის ქვეშ. ნაგულისხმევი ნებართვა მაღალიდან დაბლისკენ ფასდება ამ ინტერფეისებს შორის, ამიტომ რიცხვი ცვლის ინსპექციისა და იმპლიციტური ACL-ის ქცევას იმ გზაზე, რომელსაც ეკუთვნის.

გაშიფრული VPN ნაკადისთვის შესვლა კვლავ outside ინტერფეისია, სადაც გვირაბი მთავრდება, ხოლო გასვლა — სერვერისკენ მიმავალი inside ინტერფეისი. ორივე ჩაწერეთ, სანამ რამეს შეეხებით. ეს ერთი ნაბიჯი აშორებს დაბნეულობის უმეტეს ნაწილს, რადგან აბსტრაქტულ ნდობის კითხვას ინტერფეისების წყვილად აქცევს.

ACL-ის გვერდის ავლას სახელდებული საზღვარი აქვს

sysopt connection permit-vpn ის პარამეტრია, რომელიც ადამიანებს ნახევრად ახსოვთ, როცა ამბობენ, რომ VPN ტრაფიკი უგულებელყოფს ACL-ებს. ის ნამდვილად გამოტოვებს ინტერფეისის ACL-ს VPN ტრაფიკად მიჩნეული ტრაფიკისთვის, და 9.x პარამეტრების სახელმძღვანელო ზღუდავს მას ინტერფეისისა და მიმართულების მიხედვით, ნაცვლად გლობალური გამონაკლისის გამოცხადებისა.

შეამოწმეთ, რა არის კონფიგურირებული, სანამ მეხსიერებიდან იმსჯელებთ:

  • show running-config all sysopt ფაქტობრივი მნიშვნელობის სანახავად, და არა მხოლოდ არანაგულისხმევი ხაზების.
  • show running-config access-group იმის სანახავად, რომელი ACL რომელ ინტერფეისზე და მიმართულებაზეა გამოყენებული.
  • show vpn-sessiondb detail l2l იმის დასადასტურებლად, თუ რომელ გვირაბის ჯგუფსა და ფილტრს იყენებს სესია სინამდვილეში.

ამ პარამეტრის გამორთვა VPN წვდომის გამკაცრებისთვის დიდი გავლენის ცვლილებაა. ის ყოველ შესაბამის VPN ნაკადს ისევ უქვემდებარებს გარე ACL-ს, რაც ჩვეულებრივ ამტვრევს მომუშავე გვირაბებს ისე, რაც არ უკავშირდება იმ ფილიალს, რომელზეც გკითხეს.

წაიკითხეთ სესიაზე მიმაგრებული ფილტრი

თითოეული გვირაბის ნამდვილი კონტროლი VPN ფილტრია: ACL, რომელზეც ჯგუფის პოლიტიკა ან მომხმარებლის სახელი მიუთითებს და რომელიც გაშიფვრის შემდეგ და დაშიფვრამდე გამოიყენება. მომხმარებლის დონის ფილტრი ანაცვლებს ჯგუფის დონის მნიშვნელობას, ამიტომ ერთი და იმავე გვირაბის ჯგუფის ორ ადამიანს შეიძლება განსხვავებული ეფექტური წვდომა ჰქონდეს.

დაადასტურეთ უპირატესობა, ნაცვლად ვარაუდისა. show running-config group-policy <name> აჩვენებს ჯგუფის მნიშვნელობას, ხოლო show running-config username <name> — არსებობს თუ არა მომხმარებლისეული მნიშვნელობა. თუ ორივე არსებობს, იმარჯვებს მომხმარებლის მნიშვნელობა. შემდეგ შეადარეთ იმ ACL-ის ჩანაწერები თქვენთვის საინტერესო ნაკადს, იმ მიმართულებით, რომლითაც ფილტრი აფასებს.

ფილტრი, რომელიც პროგრამულ სერვერს უშვებს, მართვაზე არაფერს ამბობს. ეს ცალკე წესებია ცალკე გზაზე.

შეამოწმეთ ერთი ნებართვა და ერთი უარი

Packet-tracer ყველაზე სწრაფი გზაა გადაწყვეტილების სანახავად, მომხმარებლის შეტყობინების მოლოდინის გარეშე. მიეცით მას გაშიფრული მხარის ნაკადი და ნება დართეთ, დაასახელოს ACL-ის, NAT-ისა და ინსპექციის ის ეტაპები, რომლებსაც გაივლის.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. წაიკითხეთ შედეგის ხაზი: ის ასახელებს იმ ACL-ს, რომელმაც პაკეტი დაუშვა ან ჩამოაგდო.
  3. გაიმეორეთ inside ინტერფეისზე ადმინისტრაციული დანიშნულებით და დაადასტურეთ უარი.
  4. გაიმეორეთ კიდევ ერთხელ ყოველი ცვლილების შემდეგ, რათა დაფიქსირდეს როგორც წინა, ისე შემდგომი მდგომარეობა.

შემდეგ შეამოწმეთ რეალური ტრაფიკით: ერთი წარმატებული პროგრამული მოთხოვნა ფილიალიდან და ერთი წარუმატებელი SSH მცდელობა ASA-სკენ. Packet-tracer მოდელირებს გზას; ცოცხალი ნაკადი ამტკიცებს, რომ მოდელი დაემთხვა.

დააბრუნეთ ის ცვლილება, რომელმაც ის აამუშავა

თუ გამოსწორება იყო ACL-ის გვერდის ავლის გამორთვა ან ფილტრის გაფართოება, შეინახეთ წინა კონფიგურაცია. ცვლილებამდე შენახული დაზარალებული ობიექტების show run ჩანაწერი საკმარისია მათ აღსადგენად; ASA-ის კონფიგურაცია ხაზზე ორიენტირებულია, ამიტომ დაბრუნება ნიშნავს ძველი ხაზების ხელახლა შეყვანას და არა ფაილის აღდგენას.

ჩაწერეთ ინტერფეისების წყვილი, ეფექტური ფილტრი, ACL-ის სახელი packet-tracer-იდან და ზუსტი ბრძანებები, რომლებიც შეცვალეთ. ეს ჩანაწერი შემდეგ მიმოხილვას ხდის ხუთწუთიან შემოწმებად, ნდობის დონეებზე კიდევ ერთი კამათის ნაცვლად.

დაკავშირებული სტატიები