ASA-ның TACACS+ сұраулары филиал VPN туннелінен неге өтпейді

Филиал туннелі жұмыс істеп тұр, пайдаланушылар қашықтағы TACACS+ серверінде аутентификациядан өтеді, бірақ firewall-дың өз кіруі әлі де уақыт бітіп сәтсіз аяқталады. Себеп туннельдегі ақау емес: LAN-to-LAN туннелі селекторларына сәйкес келетін трафикті тасымалдайды, ал ASA өзі туралы жасайтын басқару трафигі өз бастау мекенжайы бар жеке ағын. Көптеген командалар мұны өзгеріс терезесі кезінде, жалғыз әкімшілік тіркелгі сәтсіз болған кезде анықтайды. ASA бастаған AAA сессиясын жобалауға тиіс ағын ретінде қарастырыңыз, бұрыннан жұмыс істеп тұрған байланыстың жанама әсері ретінде емес.

ASA — клиент, және оның өз трафигіне өз жолы қажет

Firewall TACACS+ серверіне хабарласқанда, firewall кез келген басқа клиент сияқты, тек оған ешкім әдейі маршрут конфигурацияламаған. Оның пакеттері құрылғыдағы интерфейс мекенжайынан шығады, олар жіберілмейді, жергілікті түрде жасалады, және оларды пайдаланушы трафигі сияқты маршруттау, түрлендіру және саясатпен қорғау қажет. Пайдаланушы ішкі желісін қорғайтын сайттан сайтқа туннель бұл басқару көзін автоматты түрде қорғамайды, себебі трафикті таңдау мекенжайларға негізделген, ниетке емес.

Сервер көретін деп күтетін мекенжайды жазып қойыңыз. Егер оны бір жолмен айта алмасаңыз, әзірге жобаңыз жоқ.

aaa-server жолындағы интерфейс — безендіру емес

ASA-да aaa-server хост жазбасы жақшада интерфейс байланысын қабылдайды, ал Cisco-ның AAA хост командаларының анықтамалығы оны аутентификация сервері орналасқан интерфейс ретінде сипаттайды. Дәл осы байланыс сұрауды интерфейспен және сол интерфейс қолданатын саясатпен байланыстырады. Оны интернетке қарайтын кез келген интерфейс бойынша таңдау немесе соңғы көшіруден қалғанын қалдыру — қашықтағы сервер мен туннель ешқашан салынбаған бастау мекенжайын береді.

inside тек аталған интерфейсте жобаңыз бастау ретінде пайдаланбақ болған мекенжай болғанда ғана дұрыс жауап. Филиал құрылғысында бұл жиі солай; бірнеше жеке сегменті бар құрылғыда олай болмауы мүмкін.

Байланысты өзгерту жазбаны қайта жасауды білдіреді

Сол командалар анықтамалығы ауысу кезінде адамдарды ұстайтын өңдеу шектеуін құжаттайды: бар хосттың интерфейсін өзгерту хост жазбасын жоюды және қайта жасауды талап етеді. Өңделген болып көрінетін конфигурация күшіне енбеуі мүмкін, және келесі кіру әрекеті әлі де ескі мекенжайдан шығады. Мұны орнында түзету емес, түпнұсқа жазбаның көшірмесі алдыңызда тұрып жою және қосу ретінде жоспарлаңыз.

Егер бірнеше сервер анықталған болса, біреуін өзгертіп, қалғандарына тимес бұрын оны сынап көріңіз, қате бірден барлық әкімшілік жолды жаппасын.

Селекторларды, түрлендіруді және қайтару жолын бірге тексеріңіз

Сұрау жетуі үшін үш нәрсе сәйкес келуі керек. Туннельдің трафик селекторлары немесе туннель интерфейсінің қорғанысы, егер қолдансаңыз, ASA-ның өз көзін және сервердің мекенжайын қамтуы керек; пайдаланушы ішкі желілері үшін құрылған селекторлар тізімі әдетте оны қамтымайды. Жолдағы кез келген NAT ережесі сол көзді дәйекті түрде түрлендіруі керек, өйткені сервер өзі көретін мекенжайды қамтитын желілік құрылғының жеке басын авторизациялайды. Және қайтару жолы болуы керек, бұл саясатқа негізделген туннельде қарсы жақта кері бағытта сәйкес селектор бар дегенді білдіреді.

Сервер жағында құрылғының жеке басын, ортақ құпияны және әкімшілік саясатты бөлек растаңыз. TACACS+ аутентификацияны, авторизацияны және есепке алуды жеке операциялар ретінде ұстайды, сондықтан аяқталған алмасудан кейін келетін бас тарту — саясаттың жауабы, тасымалдау ақауы емес. Оны желілік мәселе деп оқу сізді дұрыс емес жерден іздеуге жібереді.

Жөндеу кезінде құпияны пакет түсірілімдерінен, билеттерден және транскрипттерден тыс ұстаңыз, және сервер тіркейтін бастау мекенжайы — жобаңыз түсіндіруге тиіс мекенжай екенін ұмытпаңыз.

Өзіңізді құлыптамай өзгеріс жасаңыз

Қашықтағы әкімшілік аутентификацияны өзгерткенде консольді немесе тәуелсіз басқару жолын пайдаланыңыз, және жаңа жол нақты кіруді өткізбейінше бекітілген жергілікті қосалқы нұсқаны ұстаңыз. Содан кейін тар шеңберде тексеріңіз: бір сервер, бір құрылғы, екі жақта да байқалған бастау мекенжайымен бір сәтті аутентификация.

Ағынды жеке бетінде жазып қойыңыз: бастау интерфейсі мен мекенжайы, қашықтағы сервер, қорғалған жол және авторизация саясатының иесі. Сонда кейінгі интерфейс немесе туннель өзгерісі екі ағынның қайсысына әсер ететінін болжамсыз бағалауға болады.