Сайттар арасындағы VPN жұмыс істейді, бірақ ASA журналдары келмейді: бастауыш мекенжайды тексеріңіз

Ішкі хосттар қашықтағы жинаушыға жетеді және олардың syslog жолдары пайда болады. Сол сессиялар туралы ASA-ның өз хабарламалары ешқашан келмейді. Жинаушыда да, туннельде де ақау жоқ, және шатастыратын бөлік осы. Брандмауэр журналдарын туннель ешқашан қорғау үшін салынбаған көзден жібереді.

Не келеді, не келмейді

Панельде бірдей көрінетін екі ағынды бөлуден бастаңыз. Қайта бағытталған трафик ASA арқылы өтеді: LAN хост жинаушыға жібереді, ASA оны туннель саясатымен салыстырады, шифрлайды, және жинаушы хосттың мекенжайын көреді. Жасалған трафик ASA-ның өзінде басталады: құрылғы syslog пакетін құрастырады, шығыс интерфейсін және көзді таңдайды, содан кейін ғана қандай да бір туннель саясаты сәйкес келе ме деп сұрайды. Бірінші ағын туннельдің жұмыс істейтінін дәлелдейді және екіншісі туралы ештеңе айтпайды.

Құрылғыда буферленген оқиға да қашықтан жеткізудің дәлелі емес, өйткені журнал жергілікті жерде болуы және ешқашан жіберілмеуі мүмкін. Туннельді кінәламас бұрын жинаушының қабылдау санағыштарын тексеріңіз, өйткені бос санағыш өсіп келе жатқан санағыштан басқа тұжырым.

Жасалған хабарлама қайта бағытталған трафик емес

ASA пакетті өзі жасағанда, ол LAN хосттың проксиі болып табылмайды. Көз шығыс интерфейсінен немесе айқын көз параметрінен келеді, және пакет құрылғы жіберетін кез келген нәрсе сияқты сол маршрут іздеуге және саясат тексерулеріне кіреді. Бұл VPN селекторы ASA шын мәнінде пайдаланатын мекенжайды қамтуы керек дегенді білдіреді, және бұл көбінесе ішкі қосалқы желі емес, оның сыртқы интерфейсі.

Егер саясат 10.20.0.0/24 желісін қорғаса және ASA көз ретінде сыртқы мекенжайын пайдаланса, журнал пакеті не жете алмайтын жинаушыға ашық мәтінмен шығады, не тасталады. Екі нәтиже де жинаушы жағынан бірдей көрінеді. Дәл сол логика басқару трафигіне де қатысты, сондықтан management-access жеке жобалау шешімі.

ASA желіге қандай көзді қояды

Көзді болжаммен емес, эмпирикалық түрде табыңыз. Сынақ хабарламасы кезінде шығыс интерфейсіндегі түсірілім нақты көз мен межелі орынды көрсетеді, және бұл конфигурацияның үш бөлімін оқуға қарағанда аз уақыт алады. Ол мекенжайды туннельдің жергілікті селекторымен салыстырыңыз.

Кейбір нұсқалар журнал көзін интерфейске бекітуге мүмкіндік береді, және сіздің нұсқаңыз үшін командалар анықтамасы бұл опцияның бар-жоғын және нені өзгертетінін анықтайтын беделді көз болып табылады. Басқа Cisco платформасының source-interface командасы ASA-да автоматты түрде жарамды емес.

Егер көзді өзгертсеңіз, оны әдейі жасаңыз және жазып қойыңыз, өйткені жинаушының ACL-дері және syslog негізіндегі кез келген корреляция оған тәуелді.

Селекторды журнал ағынына сәйкестендіріңіз

Көз белгілі болғаннан кейін үш нәрсені ретімен тексеріңіз: қай трафик қызықты екенін шешетін крипто ACL немесе саясатқа негізделген селектор, пакеттің қайда кететінін шешетін маршрут және шифрлау алдында көзді қайта жаза алатын кез келген NAT ережесі. Маршрутқа сәйкес келетін, бірақ селекторға сәйкес келмейтін пакет туннельден өтпейді, ал NAT қайта жазған пакет екеуіне де сәйкес келмеуі мүмкін.

Жинаушы жағының өз талаптары бар: ASA көзін рұқсат ететін ACL, қайтару маршруты және сіз конфигурациялаған портта тыңдайтын қызмет. Тасымалдау мұнда да маңызды, өйткені ішінара бұғатталған жолда TCP және TLS журналдау UDP-ден өзгеше әрекет етеді. Бір уақытта бір элементті өзгертіңіз, әйтпесе келесі түсірілім қай өзгеріс маңызды болғанын айтпайды.

Жинаушыда тексеріңіз, содан кейін көзді жазып қойыңыз

Хабарламаның келетінін растаңыз, содан кейін ASA пайдаланған көз мекенжайын, оны тасымалдаған селекторды және сынақ жүргізген ауырлық деңгейін жазыңыз.

Бұл жазба жинаушының келесі ACL өзгерісін немесе селекторды өңдеуді қайта ашу орнына екі минуттық тексеріске айналдырады. Ол сондай-ақ екі ағынның қайсысы қашан да болсын тексерілгенін құжаттайды, және көптеген нұсқаулықтар дәл осы бөлікті тастап кетеді. Егер хабарлама әлі келмесе, ауырлық шегін уақытша төмендетіп, бір межелі орынға қарсы сынаңыз.

Cisco-ның ASA журналдауы туралы жиі қойылатын сұрақтар сыртқы көзі бар және тиісті қорғалған трафик анықтамасын қажет ететін жағдайды құжаттайды, ал оның ішкі көзі бар мысалы ішінде журнал хостты да, ішінде management-access-ті де қамтиды. Құжатталған комбинация мен бағдарламалық контексті бірге қарастырыңыз, бір көшірілген жол әр конфигурацияға сәйкес келеді деп есептемей.

LAN трафигін тасымалдайтын туннель брандмауэрдің өз дауысын тасымалдайтын туннель емес.