VPN дешифрлегеннен кейін трафикті қай ASA ережесі көреді

Ең алдымен бас тарту керек болжам — крипто ACL кіру саясаты деген түсінік. Олай емес. Cisco ASA-да бұл тізім бір тар сұраққа жауап береді: қандай пакеттер қорғауға лайық, және бұл жауап дешифрленген пакеттің брандмауэр артындағы серверге жете алатыны туралы ештеңе айтпайды. Кіруге кейінірек шешім қабылданады — интерфейс саясатымен, топтық саясат сүзгісімен немесе екеуімен де, туннельдің қалай құрылғанына байланысты.

Крипто ACL басқа сұраққа жауап береді

Крипто ACL — сәйкестік тізімі. Ол туннельге екі тарап арасында нені шифрлау керектігін айтады; оған сәйкес келмейтін пакет жай ғана қорғалмаған. Оны кеңейту қорғау ауқымын өзгертеді, басқа ештеңе емес.

Сондықтан сол жерге қосалқы желі қосу туннельді көтеруі мүмкін, ал нақты қолданба әлі де істемейді. Туннель көтерілген, өйткені енді сәйкестік бар. Қолданба әлі істемейді, өйткені бұл тізімде ештеңе ештеңеге рұқсат бермейді. Екі түрлі сұрақ, екі түрлі тізім.

Айналып өту параметрі шын мәнінде нені өткізіп жібереді

sysopt connection permit-vpn қорғалған трафикке кіріс жағында әйтпесе қолданылатын интерфейс ACL тексеруін өткізіп жіберуге мүмкіндік береді. Бұл VPN орналастырулары үшін қолайлылық және ол жаһандық. Ол топтық саясатқа тимейді және пайдаланушы бойынша авторизация сүзгісіне де тимейді.

Болжамның орнына нақты мәнді оқыңыз: show running-config all sysopt параметрді ол ешқашан айқын конфигурацияланбаған кезде де басып шығарады, және көп шатасу осы жерден басталады.

Параметр жаһандық болғандықтан, оны бір істен шыққан қосалқы желіде жылдам тәжірибе ретінде тексеру — нашар айырбас. Сол брандмауэрдегі қалған барлық туннель нәтижені бөліседі. Оны кері қайтару жоспары бар әдейі өзгеріске сақтаңыз.

Сүзгіні дешифрлеу бағытында оқыңыз

LAN-to-LAN vpn-filter интерфейстің емес, туннельдің көзқарасынан жазылады. Қашықтағы желі бастау орнына, ал жергілікті желі межелеу орнына қойылады, өйткені дешифрлеуден кейін пакет осылай көрінеді. Содан кейін сол сүзгі шифрлау алдында қарсы бағытта қайта бағаланады, мекенжайлардың рөлдері ауысады.

Порт шарттары көшірілген интерфейс ACL-іне қарағанда көбірек мұқияттылыққа лайық, дәл сол себепті. Бір межелеу портына рұқсат беретін ереже қарсы бағытта күтпеген әсер етуі мүмкін, онда жаңа қосылым сол портты өзінің бастауы ретінде пайдаланады. Тізімді құрмас бұрын қай тарап бастай алатынын, нақты қызметті және жабық қалуы тиіс қарсы тарапты жазып алыңыз.

Қай сүзгінің шын мәнінде тіркелгенін растаңыз: show running-config group-policy және show vpn-sessiondb detail l2l бірге сессияның нені мұраға алғанын айтады. Ешбір саясат сілтемейтін ACL-ді өңдеу ештеңені өзгертпейді.

Бір ACL нысанын екі жұмысқа пайдаланбаңыз

Интерфейстің access-group мен vpn-filter бір типті нысанға ұқсайды және әртүрлі нүктелерде әртүрлі мекенжай бағдарымен бағаланады. Бір тізімді екеуіне де беру туннельді түзететін және физикалық интерфейсті үнсіз босаңсытатын өзгеріске шақырады.

Оларды бөлек ұстаңыз, жұмысына қарай атаңыз және бағыт айырмашылығы атауларда көрінетін болсын.

Жаңа қосылымдармен, екі бағытта да тексеріңіз

Жоспарланған өзгерістен кейін рұқсат етілуі тиіс бір жаңа қосылымды және қабылданбауы тиіс бір жаңа қосылымды ашыңыз, содан кейін мекенжайларды, бағытты және саясат сәйкестігін нәтижемен бірге жазыңыз. Орнатылған сессия жаңа қосылымдарды сүзу туралы ештеңе дәлелдемейді, өйткені ол ескі ережелермен әлдеқашан жіберілген.

Инспекцияны да ескеріңіз. Өндіруші құжаттамасы VPN сүзгісі инспекция қозғалтқышы ашатын әрбір қайталама қосылымды емес, бастапқы қосылымды тексеретінін атап өтеді, сондықтан басқару арнасы мен оған қатысты медиа ағыны басқаша қаралуы мүмкін. Қолданба хаттаманы танитын болса, бір порт зондының орнына нақты ағынды тексеріңіз.

Кең айналып өтуден кейін жарамды болған туннель шектеу жойылғанын айтады, оның орындалғанын емес. Сақтауға тұрарлық нәтиже — келесі шолуда сілтей алатын атаулы орындау нүктесі.