VPN ಸಬ್‌ನೆಟ್ ASA ಇಂಟರ್‌ಫೇಸ್‌ನ ಭದ್ರತಾ ಮಟ್ಟವನ್ನು ಪಡೆಯುತ್ತದೆಯೇ?

ಡೀಕ್ರಿಪ್ಟ್ ಆದ VPN ಸಬ್‌ನೆಟ್ ಎಂದಿಗೂ ಇಂಟರ್‌ಫೇಸ್‌ನ ಭದ್ರತಾ ಮಟ್ಟವನ್ನು ಪಡೆಯುವುದಿಲ್ಲ. sysopt connection permit-vpn, ಗುಂಪು ಫಿಲ್ಟರ್ ಮತ್ತು ನಿರ್ವಹಣಾ ಪ್ರವೇಶವನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ಪರಿಶೀಲಿಸಿ.

ಬ್ರಾಂಚ್‌ನ VPN ಸಬ್‌ನೆಟ್ ASA ನಲ್ಲಿ «ಭದ್ರತಾ ಮಟ್ಟ 0 ಅಥವಾ 100» ಹೊಂದಿದೆಯೇ ಎಂದು ಯಾರೋ ಕೇಳುತ್ತಾರೆ, ಮತ್ತು ಪ್ರಶ್ನೆಯಲ್ಲಿ ಈಗಾಗಲೇ ತಪ್ಪಿದೆ. ಭದ್ರತಾ ಮಟ್ಟವು ಸ್ಥಳೀಯ ಇಂಟರ್‌ಫೇಸ್‌ನ ಗುಣಲಕ್ಷಣವಾಗಿದ್ದು, ಇಂಟರ್‌ಫೇಸ್ ಕಾನ್ಫಿಗರೇಶನ್‌ನಲ್ಲಿ 0 ರಿಂದ 100 ರವರೆಗೆ ನಿಗದಿಯಾಗುತ್ತದೆ. ಟನೆಲ್ ಮೂಲಕ ಬರುವ ದೂರದ ಸಬ್‌ನೆಟ್ ಯಾವುದೇ ಮಟ್ಟವನ್ನು ಪಡೆಯುವುದಿಲ್ಲ, crypto map ಹೇಗೆ ಬರೆದಿದ್ದರೂ ಸರಿ. ಆದ್ದರಿಂದ ಪ್ರಶ್ನೆಗೆ ಯಾವುದೇ ಸಂಖ್ಯಾತ್ಮಕ ಉತ್ತರವಿಲ್ಲ.

ಪ್ರಾಯೋಗಿಕ ಮುಂದಿನ ಪ್ರಶ್ನೆ ಉತ್ತಮವಾಗಿದೆ: ಯಾವ ನೀತಿ ಬ್ರಾಂಚ್‌ಗೆ ಸರ್ವರ್‌ಗೆ ಪ್ರವೇಶ ನೀಡುತ್ತದೆ ಮತ್ತು ಯಾವುದು ಅದನ್ನು ಫೈರ್‌ವಾಲ್‌ನಿಂದಲೇ ದೂರವಿರಿಸುತ್ತದೆ. ಅವು ಎರಡು ಉತ್ತರಗಳು, ಮತ್ತು ಕೆಳಗಿನ ಕಾರ್ಯವಿಧಾನ ಅವನ್ನು ಬೇರ್ಪಡಿಸುತ್ತದೆ.

ಭದ್ರತಾ ಮಟ್ಟಗಳು ಇಂಟರ್‌ಫೇಸ್‌ಗಳಿಗೆ ಸೇರಿವೆ

show running-config interface ಚಲಾಯಿಸಿ, ಪ್ರತಿ ಭೌತಿಕ ಅಥವಾ VLAN ಇಂಟರ್‌ಫೇಸ್ ಅಡಿಯಲ್ಲಿ security-level ಕಾಣುತ್ತದೆ, ಟನೆಲ್ ಗುಂಪು ಅಥವಾ crypto map ಅಡಿಯಲ್ಲಿ ಅಲ್ಲ. ಹೆಚ್ಚಿನಿಂದ ಕಡಿಮೆಗೆ ಡೀಫಾಲ್ಟ್ ಅನುಮತಿ ಆ ಇಂಟರ್‌ಫೇಸ್‌ಗಳ ನಡುವೆ ಮೌಲ್ಯಮಾಪನಗೊಳ್ಳುತ್ತದೆ, ಆದ್ದರಿಂದ ಸಂಖ್ಯೆಯು ತಾನು ಸೇರಿದ ಮಾರ್ಗದಲ್ಲಿ ತಪಾಸಣೆ ಮತ್ತು ಗುಪ್ತ ACL ನಡವಳಿಕೆಯನ್ನು ಬದಲಿಸುತ್ತದೆ.

ಡೀಕ್ರಿಪ್ಟ್ ಆದ VPN ಹರಿವಿಗೆ, ಪ್ರವೇಶವು ಟನೆಲ್ ಕೊನೆಗೊಳ್ಳುವ outside ಇಂಟರ್‌ಫೇಸ್ ಆಗಿಯೇ ಇರುತ್ತದೆ, ಮತ್ತು ನಿರ್ಗಮನವು ಸರ್ವರ್‌ನತ್ತ ಇರುವ inside ಇಂಟರ್‌ಫೇಸ್ ಆಗಿದೆ. ಏನನ್ನೂ ಮುಟ್ಟುವ ಮೊದಲು ಎರಡನ್ನೂ ಬರೆಯಿರಿ. ಆ ಒಂದು ಹೆಜ್ಜೆ ಹೆಚ್ಚಿನ ಗೊಂದಲವನ್ನು ನಿವಾರಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಅದು ಅಮೂರ್ತ ನಂಬಿಕೆಯ ಪ್ರಶ್ನೆಯನ್ನು ಇಂಟರ್‌ಫೇಸ್ ಜೋಡಿಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ.

ACL ಬೈಪಾಸ್‌ಗೆ ಹೆಸರಿಸಿದ ಗಡಿ ಇದೆ

sysopt connection permit-vpn ಎಂಬುದು VPN ಸಂಚಾರವು ACL ಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತದೆ ಎಂದು ಹೇಳುವಾಗ ಜನರು ಅರ್ಧ ನೆನಪಿಟ್ಟುಕೊಳ್ಳುವ ಸೆಟ್ಟಿಂಗ್. ಅದು VPN ಸಂಚಾರ ಎಂದು ಅರ್ಹವಾದ ಸಂಚಾರಕ್ಕೆ ಇಂಟರ್‌ಫೇಸ್ ACL ಅನ್ನು ನಿಜವಾಗಿಯೂ ಬಿಟ್ಟುಬಿಡುತ್ತದೆ, ಮತ್ತು 9.x ಪ್ಯಾರಾಮೀಟರ್ ಮಾರ್ಗದರ್ಶಿ ಅದನ್ನು ಜಾಗತಿಕ ವಿನಾಯಿತಿ ಘೋಷಿಸುವ ಬದಲು ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ದಿಕ್ಕಿನ ಪ್ರಕಾರ ಸೀಮಿತಗೊಳಿಸುತ್ತದೆ.

ನೆನಪಿನಿಂದ ತರ್ಕಿಸುವ ಮೊದಲು ಏನು ಕಾನ್ಫಿಗರ್ ಆಗಿದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ:

  • show running-config all sysopt ನಿಜವಾದ ಮೌಲ್ಯವನ್ನು ನೋಡಲು, ಡೀಫಾಲ್ಟ್ ಅಲ್ಲದ ಸಾಲುಗಳನ್ನು ಮಾತ್ರವಲ್ಲ.
  • show running-config access-group ಯಾವ ACL ಯಾವ ಇಂಟರ್‌ಫೇಸ್ ಮತ್ತು ದಿಕ್ಕಿಗೆ ಅನ್ವಯವಾಗಿದೆ ಎಂದು ನೋಡಲು.
  • show vpn-sessiondb detail l2l ಸೆಷನ್ ನಿಜವಾಗಿ ಯಾವ ಟನೆಲ್ ಗುಂಪು ಮತ್ತು ಫಿಲ್ಟರ್ ಬಳಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಲು.

VPN ಪ್ರವೇಶವನ್ನು ಕಟ್ಟುನಿಟ್ಟಾಗಿಸಲು ಆ ಸೆಟ್ಟಿಂಗ್ ಬಂದ್ ಮಾಡುವುದು ದೊಡ್ಡ ಪರಿಣಾಮದ ಬದಲಾವಣೆ. ಅದು ಪ್ರತಿ ಅರ್ಹ VPN ಹರಿವನ್ನು ಮತ್ತೆ ಹೊರಗಿನ ACL ಗೆ ಒಳಪಡಿಸುತ್ತದೆ, ಇದು ಸಾಮಾನ್ಯವಾಗಿ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಟನೆಲ್‌ಗಳನ್ನು ನೀವು ಕೇಳಿದ ಬ್ರಾಂಚ್‌ಗೆ ಸಂಬಂಧವಿಲ್ಲದ ರೀತಿಯಲ್ಲಿ ಒಡೆಯುತ್ತದೆ.

ಸೆಷನ್‌ಗೆ ಲಗತ್ತಿಸಿದ ಫಿಲ್ಟರ್ ಓದಿ

ಪ್ರತಿ ಟನೆಲ್‌ಗೆ ನಿಜವಾದ ನಿಯಂತ್ರಣ VPN ಫಿಲ್ಟರ್: ಗುಂಪು ನೀತಿ ಅಥವಾ ಬಳಕೆದಾರರ ಹೆಸರು ಉಲ್ಲೇಖಿಸುವ ACL, ಡೀಕ್ರಿಪ್ಶನ್ ನಂತರ ಮತ್ತು ಎನ್‌ಕ್ರಿಪ್ಶನ್ ಮೊದಲು ಅನ್ವಯವಾಗುತ್ತದೆ. ಬಳಕೆದಾರ-ಮಟ್ಟದ ಫಿಲ್ಟರ್ ಗುಂಪು-ಮಟ್ಟದ ಮೌಲ್ಯವನ್ನು ಬದಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದೇ ಟನೆಲ್ ಗುಂಪಿನ ಇಬ್ಬರಿಗೆ ವಿಭಿನ್ನ ಪರಿಣಾಮಕಾರಿ ಪ್ರವೇಶ ಇರಬಹುದು.

ಆದ್ಯತೆಯನ್ನು ಊಹಿಸುವ ಬದಲು ಖಚಿತಪಡಿಸಿ. show running-config group-policy <name> ಗುಂಪಿನ ಮೌಲ್ಯವನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು show running-config username <name> ಪ್ರತಿ-ಬಳಕೆದಾರ ಮೌಲ್ಯ ಇದೆಯೇ ಎಂದು ತೋರಿಸುತ್ತದೆ. ಎರಡೂ ಇದ್ದರೆ, ಬಳಕೆದಾರರ ಮೌಲ್ಯ ಗೆಲ್ಲುತ್ತದೆ. ನಂತರ ಆ ACL ನ ನಮೂದುಗಳನ್ನು ನಿಮಗೆ ಮುಖ್ಯವಾದ ಹರಿವಿನೊಂದಿಗೆ, ಫಿಲ್ಟರ್ ಮೌಲ್ಯಮಾಪನ ಮಾಡುವ ದಿಕ್ಕಿನಲ್ಲಿ ಹೋಲಿಸಿ.

ಅಪ್ಲಿಕೇಶನ್ ಸರ್ವರ್‌ಗೆ ಅನುಮತಿ ನೀಡುವ ಫಿಲ್ಟರ್ ನಿರ್ವಹಣೆಯ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಅವು ಬೇರೆ ಮಾರ್ಗದಲ್ಲಿ ಬೇರೆ ನಿಯಮಗಳು.

ಒಂದು ಅನುಮತಿ ಮತ್ತು ಒಂದು ನಿರಾಕರಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ

ಬಳಕೆದಾರರು ವರದಿ ಮಾಡುವವರೆಗೆ ಕಾಯದೆ ನಿರ್ಣಯವನ್ನು ನೋಡಲು Packet-tracer ಅತ್ಯಂತ ವೇಗದ ಮಾರ್ಗ. ಅದಕ್ಕೆ ಡೀಕ್ರಿಪ್ಟ್ ಬದಿಯ ಹರಿವನ್ನು ನೀಡಿ ಮತ್ತು ಅದು ಹಾದುಹೋಗುವ ACL, NAT ಮತ್ತು ತಪಾಸಣೆ ಹಂತಗಳನ್ನು ಹೆಸರಿಸಲಿ.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. ಫಲಿತಾಂಶದ ಸಾಲನ್ನು ಓದಿ: ಪ್ಯಾಕೆಟ್ ಅನ್ನು ಅನುಮತಿಸಿದ ಅಥವಾ ಬಿಸಾಡಿದ ACL ಅನ್ನು ಅದು ಹೆಸರಿಸುತ್ತದೆ.
  3. inside ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ನಿರ್ವಹಣಾ ಗಮ್ಯಸ್ಥಾನದೊಂದಿಗೆ ಪುನರಾವರ್ತಿಸಿ ಮತ್ತು ನಿರಾಕರಣೆಯನ್ನು ಖಚಿತಪಡಿಸಿ.
  4. ಯಾವುದೇ ಬದಲಾವಣೆಯ ನಂತರ ಇನ್ನೊಮ್ಮೆ ಪುನರಾವರ್ತಿಸಿ, ಇದರಿಂದ ಮೊದಲಿನ ಮತ್ತು ನಂತರದ ಸ್ಥಿತಿ ಎರಡೂ ದಾಖಲಾಗುತ್ತವೆ.

ನಂತರ ನಿಜವಾದ ಸಂಚಾರದೊಂದಿಗೆ ಪರಿಶೀಲಿಸಿ: ಬ್ರಾಂಚ್‌ನಿಂದ ಒಂದು ಯಶಸ್ವಿ ಅಪ್ಲಿಕೇಶನ್ ವಿನಂತಿ ಮತ್ತು ASA ಗೆ ಒಂದು ವಿಫಲ SSH ಪ್ರಯತ್ನ. Packet-tracer ಮಾರ್ಗವನ್ನು ಮಾಡೆಲ್ ಮಾಡುತ್ತದೆ; ಜೀವಂತ ಹರಿವು ಮಾಡೆಲ್ ಹೊಂದಿಕೆಯಾದುದನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ.

ಅದನ್ನು ಕೆಲಸ ಮಾಡಿಸಿದ ಬದಲಾವಣೆಯನ್ನು ಹಿಂತಿರುಗಿಸಿ

ಪರಿಹಾರವು ACL ಬೈಪಾಸ್ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದು ಅಥವಾ ಫಿಲ್ಟರ್ ವಿಸ್ತರಿಸುವುದು ಆಗಿದ್ದರೆ, ಹಿಂದಿನ ಕಾನ್ಫಿಗರೇಶನ್ ಇಟ್ಟುಕೊಳ್ಳಿ. ಬದಲಾವಣೆಗೆ ಮೊದಲು ಉಳಿಸಿದ ಪರಿಣಾಮಿತ ವಸ್ತುಗಳ show run ಕ್ಯಾಪ್ಚರ್ ಅವನ್ನು ಮರುಸ್ಥಾಪಿಸಲು ಸಾಕು; ASA ಕಾನ್ಫಿಗರೇಶನ್ ಸಾಲು-ಕೇಂದ್ರಿತವಾಗಿದೆ, ಆದ್ದರಿಂದ ಹಿಂತಿರುಗಿಸುವುದು ಎಂದರೆ ಹಳೆಯ ಸಾಲುಗಳನ್ನು ಮತ್ತೆ ನಮೂದಿಸುವುದು, ಫೈಲ್ ಮರುಸ್ಥಾಪಿಸುವುದಲ್ಲ.

ಇಂಟರ್‌ಫೇಸ್ ಜೋಡಿ, ಪರಿಣಾಮಕಾರಿ ಫಿಲ್ಟರ್, packet-tracer ನಿಂದ ACL ಹೆಸರು ಮತ್ತು ನೀವು ಬದಲಿಸಿದ ನಿಖರ ಆದೇಶಗಳನ್ನು ದಾಖಲಿಸಿ. ಆ ದಾಖಲೆ ಮುಂದಿನ ಪರಿಶೀಲನೆಯನ್ನು ನಂಬಿಕೆ ಮಟ್ಟಗಳ ಬಗ್ಗೆ ಇನ್ನೊಂದು ಚರ್ಚೆಯ ಬದಲು ಐದು ನಿಮಿಷಗಳ ತಪಾಸಣೆಯಾಗಿ ಮಾಡುತ್ತದೆ.

ಸಂಬಂಧಿತ ಲೇಖನಗಳು