ASA қашықтағы пайдаланушысы ішкі желіге жетеді, бірақ қолданбаға неге жетпейді
Маршруттар туннельдің жұмыс істеп тұрғанын дәлелдейді, пайдаланушының қолданбаны аша алатынын емес. Сессия алған сүзгіні оқып, содан кейін рұқсат етілген және қабылданбаған қосылымды тексеріңіз.
Сіздің пайдаланушыңыз қосылады, мекенжай алады, қолданбаның ішкі желісіндегі серверге пинг жібереді, бірақ ондағы қызметті аша алмайды. Бұл үйлесім ASA үшін қалыпты, өйткені сәтті туннель мен пайдалануға жарамды рұқсатты әртүрлі параметрлер шешеді. Бөлінген туннель тізімі қандай межелер туннельге кіретінін таңдады; VPN сүзгісі мен меженің өз қатынау ережелері шифры шешілген сұраныстың неге жете алатынын анықтайды. Маршруттар тізімін кеңейтудің орнына үш шешімді ретімен қарап шығыңыз, бірдеңе өзгергенше.
Шатастыруға оңай үш шешім
Рұқсат пайдаланушының туннельді мүлде құра алатынын шешеді: тіркелгі деректері, сертификат және кез келген екінші фактор. Маршрут таңдау клиенттің қандай межелерді сол туннельге жіберетінін шешеді. Авторизация шифры шешілген сұраныстың қызметке жете алатынын шешеді. Пайдаланушы хабарлайтын қатені тек үшіншісі туғызады.
Оларды ажыратудың жылдам жолы — өзгеріс нені бұзатынын сұрау. Бөлінген тізімнен маршрутты алып тастау сол ішкі желіге трафикті тоқтатады, бірақ ештеңе бермейді; VPN сүзгісіне ACE қосу межені береді, бірақ клиент туннельге не салатынын өзгертпейді.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Сессия нақты алған сүзгіні оқыңыз
Қолданылады деп ойлайтын конфигурациядан емес, тірі сессиядан бастаңыз. show vpn-sessiondb detail anyconnect тағайындалған топтық саясатты және сол сессияға тіркелген сүзгі атауын шығарады. Өріс бос болса, ешбір сүзгі ештеңені орындамайды және бұғаттау басқа жерден келеді.
Содан кейін мәнді иеленетін саясатты, әдепкі мәндерді қоса оқыңыз, өйткені сүзгі мұрагерлікпен келуі мүмкін, қарап отырған жерде жазылмаған болуы ықтимал:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Сессиядағы сүзгі атауын жаңа ғана өңдеген ACL-мен салыстырыңыз. Пайдаланушы ешқашан алмаған ұқсас атаулы ACL сол сессияның ресурстық саясатын өзгерте алмайды, және дұрыс көрінетін өзгерістің әсері болмауының ең жиі себебі осы.
Басымдық қалғанын түсіндіреді. Сүзгі параметрі үшін DAP жазбасы пайдаланушы атының атрибуттарынан басым, ал пайдаланушы атының атрибуттары топтық саясаттан басым. Сессия күтпеген сүзгіні көрсетсе, топқа тиесілі болмай тұрып сол пайдаланушыға сәйкес DAP саясатын іздеңіз.
Бөлінген тізім мен сүзгі жеке өрістер
ASA 9.x-те топтық саясат split-tunnel-network-list және vpn-filter параметрлерін бөлек ұстайды, ал 9.22 топтық саясат нұсқаулығы дәл сол себепті оларды жеке құжаттайды. Желі тізімі клиент үшін маршруттау ишараты; сүзгі шифры шешілген трафикке қолданылатын қатынауды бақылау тізімі.
Бұл айырмашылық пайдаланушыға ішкі желіде бір HTTPS қызметі қажет болғанда маңызды. Ішкі желіні бөлінген тізімге қойып, пакеттер туннельге кірсін, содан кейін сүзгінде тек сол қызметке рұқсат етіңіз. Маршруттар тізімін кеңейту ештеңеге рұқсат бермейді, ал оны тарылту — орындау тетігі емес.
Интерфейс ACL-і жолда бар-жоғын тексеріңіз
Шифры шешілген қашықтағы қатынау трафигі адамдар ойлағандай сыртқы интерфейс ACL-інен әрдайым өтпейді. sysopt connection permit-vpn қосылған жерде ASA сол трафикке құжатталған VPN айналып өтуін қолданады, ал қолданылатын VPN сүзгілері одан кейін де әрекет етеді. Параметрді топология диаграммасынан пайымдаудың орнына show run all sysopt арқылы тексеріңіз.
Қалай болғанда да, межелі хосттың өз файрволы мен қолданбаның авторизациясы жолда қалады. TCP 443-ке рұқсат беретін ASA ережесі қолданбаны пайдаланушыны қабылдауға мәжбүрлемейді.
Өзгерісті қабылданбаған қосылыммен де қабылдаңыз
Тек рұқсат етілген сынақ өте азды дәлелдейді, өйткені жұмыс істеп тұрған туннель сүзгі бар-жоғына қарамастан бірдей бірінші пакетті шығарады. Клиенттен көзделген қызметті ашыңыз, содан кейін жабық қалуы тиіс межені сынап, оның дұрыс себептен сәтсіз болатынын растаңыз.
Тикетті жапқанда төрт фактіні жазыңыз: қабылданған жеке басы, сессия нақты алған саясат пен сүзгі, бөлінген тізімдегі межелер және пайдаланушыға жетуге рұқсат етілген ресурс. Осы төртеуі трафиктің қайда бақыланатынын түсіндіреді, маршруттар тізімін файрволға айналдырмай.
Сүзгі рұқсат бергеннен кейін де қызмет қабылдамаса, хостқа өтіңіз: тыңдау мекенжайы, хост файрволы және қолданбаның өз пайдаланушылар картасы. Сол кезде туннель өз жұмысын атқарды, ал ASA-дағы одан арғы өзгерістер тек тәуекел қосады.