VPN қосымша желісі ASA интерфейсінің қауіпсіздік деңгейін ала ма?

Шифры ашылған VPN қосымша желісі интерфейстің қауіпсіздік деңгейін ешқашан мұра етпейді. sysopt connection permit-vpn, топ сүзгісін және әкімшілік қатынауды бөлек тексеріңіз.

Біреу филиалдың VPN қосымша желісінің ASA-да «қауіпсіздік деңгейі 0 немесе 100» бар-жоғын сұрайды, ал сұрақта қате қазірдің өзінде бар. Қауіпсіздік деңгейі — жергілікті интерфейстің қасиеті, ол интерфейс конфигурациясында 0-ден 100-ге дейін беріледі. Туннель арқылы келетін қашықтағы қосымша желі оны алмайды, crypto map қалай жазылса да. Сондықтан сұрақтың сандық жауабы жоқ.

Практикалық келесі сұрақ жақсырақ: қай саясат филиалды серверге жібереді және қайсысы оны қорғаныс қабырғасының өзінен алыс ұстайды. Бұл екі жауап, және төмендегі процедура оларды бөледі.

Қауіпсіздік деңгейлері интерфейстерге тиесілі

show running-config interface орындаңыз, сонда security-level әр физикалық немесе VLAN интерфейсінің астында көрінеді, туннель тобының немесе crypto map-тың астында емес. Жоғарыдан төменге әдепкі рұқсат осы интерфейстер арасында бағаланады, сондықтан сан өзі тиесілі жолда тексеру мен жасырын ACL мінез-құлқын өзгертеді.

Шифры ашылған VPN ағыны үшін кіру әлі де туннель аяқталатын outside интерфейсі, ал шығу — серверге қарай inside интерфейсі. Бірдеңеге тимес бұрын екеуін де жазып қойыңыз. Осы бір қадам шатасудың көбін жояды, өйткені дерексіз сенім сұрағын интерфейстер жұбына айналдырады.

ACL-ді айналып өтудің атаулы шекарасы бар

sysopt connection permit-vpn — адамдар VPN трафигі ACL-ді елемейді дегенде жартылай есте сақтайтын параметр. Ол VPN трафигі ретінде сай келетін трафик үшін интерфейс ACL-ін шынымен өткізіп жібереді, ал 9.x параметрлер нұсқаулығы оны жаһандық ерекшелік жариялаудың орнына интерфейс пен бағыт бойынша шектейді.

Жадтан пайымдамас бұрын не конфигурацияланғанын тексеріңіз:

  • show running-config all sysopt нақты мәнді көру үшін, тек әдепкі емес жолдарды ғана емес.
  • show running-config access-group қай ACL қай интерфейске және бағытқа қолданылғанын көру үшін.
  • show vpn-sessiondb detail l2l сессия шынымен қай туннель тобы мен сүзгіні пайдаланатынын растау үшін.

VPN қатынауын қатаңдату үшін бұл параметрді өшіру — әсері кең өзгеріс. Ол әрбір сай келетін VPN ағынын қайтадан сыртқы ACL-ге бағындырады, бұл әдетте жұмыс істеп тұрған туннельдерді сұралған филиалға қатысы жоқ жолдармен бұзады.

Сессияға тіркелген сүзгіні оқыңыз

Әр туннель үшін нақты бақылау — VPN сүзгісі: топ саясаты немесе пайдаланушы аты сілтеме жасайтын ACL, шифрды ашқаннан кейін және шифрлауға дейін қолданылады. Пайдаланушы деңгейіндегі сүзгі топ деңгейіндегі мәнді басып тастайды, сондықтан бір туннель тобындағы екі адамның нақты қатынауы әртүрлі болуы мүмкін.

Басымдықты болжаудың орнына растаңыз. show running-config group-policy <name> топ мәнін көрсетеді, ал show running-config username <name> пайдаланушы бойынша мәннің бар-жоғын көрсетеді. Екеуі де болса, пайдаланушы мәні жеңеді. Содан кейін сол ACL жазбаларын сізді қызықтыратын ағынмен, сүзгі бағалайтын бағытта салыстырыңыз.

Қолданбалық серверге рұқсат беретін сүзгі басқару туралы ештеңе айтпайды. Бұлар бөлек жолдағы бөлек ережелер.

Бір рұқсат пен бір бас тартуды тексеріңіз

Packet-tracer — шешімді пайдаланушы хабарлауын күтпей көрудің ең жылдам жолы. Оған шифры ашылған жақтың ағынын беріңіз және ол өтетін ACL, NAT және тексеру кезеңдерін атасын.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Нәтиже жолын оқыңыз: ол пакетті рұқсат еткен немесе тастаған ACL-ді атайды.
  3. inside интерфейсіндегі әкімшілік межелімен қайталаңыз және бас тартуды растаңыз.
  4. Әр өзгерістен кейін тағы бір рет қайталаңыз, сонда бұрынғы да, кейінгі де күй жазылады.

Содан кейін нақты трафикпен тексеріңіз: филиалдан бір сәтті қолданбалық сұрау және ASA-ға бір сәтсіз SSH әрекеті. Packet-tracer жолды модельдейді; тірі ағын модельдің сәйкес келгенін дәлелдейді.

Оны іске қосқан өзгерісті кері қайтарыңыз

Егер түзету ACL-ді айналып өтуді өшіру немесе сүзгіні кеңейту болса, алдыңғы конфигурацияны сақтаңыз. Өзгеріске дейін сақталған әсер еткен нысандардың show run түсірілімі оларды қалпына келтіруге жеткілікті; ASA конфигурациясы жолға бағдарланған, сондықтан қайтару ескі жолдарды қайта енгізуді білдіреді, файлды қалпына келтіруді емес.

Интерфейстер жұбын, әсер етуші сүзгіні, packet-tracer-ден алынған ACL атауын және өзгерткен нақты командаларды жазып алыңыз. Бұл жазба келесі шолуды сенім деңгейлері туралы тағы бір дау емес, бес минуттық тексеруге айналдырады.

Қатысты мақалалар