ASA 자체의 TACACS+ 요청이 지사 VPN 터널을 지나지 않는 이유

지사 터널은 올라와 있고 사용자는 원격 TACACS+ 서버에서 인증을 받는데, 방화벽 자체의 로그인은 여전히 시간 초과로 끝납니다. 원인은 터널의 결함이 아닙니다. LAN-to-LAN 터널은 선택자에 일치하는 트래픽만 전달하며, ASA가 자기 자신에 대해 생성하는 관리 트래픽은 자체 원본 주소를 가진 별도의 흐름입니다. 대부분의 팀은 변경 작업 시간에 이 사실을 발견합니다. 유일한 관리자 계정이 바로 실패하는 계정이기 때문입니다. ASA가 시작하는 AAA 세션은 이미 동작하는 연결의 부작용이 아니라 설계해야 하는 흐름으로 다루십시오.

ASA가 클라이언트이며, 자체 트래픽에는 자체 경로가 필요합니다

방화벽이 TACACS+ 서버에 접속할 때 방화벽은 다른 클라이언트와 같습니다. 다만 누구도 의도적으로 그를 위한 경로를 구성하지 않았습니다. 패킷은 장비의 인터페이스 주소에서 시작되고, 전달되지 않고 로컬에서 생성되며, 사용자 트래픽과 똑같이 라우팅되고 변환되고 정책으로 보호되어야 합니다. 사용자 서브넷을 보호하는 사이트 간 터널이 그 관리 원본을 자동으로 보호하지는 않습니다. 트래픽 선택은 의도가 아니라 주소를 기준으로 하기 때문입니다.

서버가 볼 것으로 예상하는 주소를 적어 두십시오. 한 줄로 말할 수 없다면 아직 설계가 없습니다.

aaa-server 행의 인터페이스는 장식이 아닙니다

ASA에서 aaa-server 호스트 항목은 괄호 안에 인터페이스 연결을 받으며, Cisco의 AAA 호스트 명령 참조는 이를 인증 서버가 있는 인터페이스로 설명합니다. 이 연결이 요청을 인터페이스와 그 인터페이스가 적용하는 정책에 묶습니다. 인터넷 쪽을 향한 아무 인터페이스로 고르거나 지난 이전 작업에서 남은 값을 그대로 두면, 원격 서버와 터널이 전혀 염두에 두지 않은 원본 주소가 됩니다.

inside는 지정한 인터페이스가 설계에서 원본으로 쓰려는 주소를 가지고 있을 때만 정답입니다. 지사 장비에서는 흔히 그렇지만, 사설 세그먼트가 여러 개인 장비에서는 아닐 수 있습니다.

연결을 바꾸려면 항목을 다시 만들어야 합니다

같은 명령 참조는 전환 작업 중 사람을 낚는 편집 제약을 기록합니다. 기존 호스트의 인터페이스를 바꾸려면 호스트 항목을 지우고 다시 만들어야 합니다. 편집된 것처럼 보이는 구성이 적용되지 않았을 수 있고, 다음 로그인 시도도 여전히 이전 주소에서 나갑니다. 원본 항목 사본을 눈앞에 두고 제자리 수정이 아니라 삭제 후 추가로 계획하십시오.

서버가 여러 개 정의되어 있으면 하나를 바꾸고 시험한 뒤 나머지를 건드리십시오. 실수 하나로 모든 관리 경로가 한꺼번에 잠기지 않도록 하기 위해서입니다.

선택자, 변환, 반환 경로를 함께 확인하십시오

요청이 도착하려면 세 가지가 맞아야 합니다. 터널의 트래픽 선택자, 또는 터널 인터페이스 보호를 사용한다면 그것에 ASA 자체의 원본과 서버 주소가 포함되어야 합니다. 사용자 서브넷용으로 만든 선택자 목록에는 보통 포함되지 않습니다. 경로상의 모든 NAT 규칙은 그 원본을 일관되게 변환해야 합니다. 서버는 자기가 보는 주소를 포함한 네트워크 장비 신원을 허가하기 때문입니다. 그리고 반환 경로가 있어야 합니다. 정책 기반 터널에서는 반대편에 반대 방향의 일치하는 선택자가 있다는 뜻입니다.

서버 쪽에서는 장비 신원, 공유 비밀, 관리 정책을 각각 따로 확인하십시오. TACACS+는 인증, 권한 부여, 계정 관리를 별개의 작업으로 유지하므로, 교환이 끝난 뒤 도착하는 거부는 정책의 응답이지 전송 실패가 아닙니다. 이를 네트워크 문제로 읽으면 엉뚱한 곳을 찾게 됩니다.

디버깅하는 동안 비밀을 패킷 캡처, 티켓, 기록에서 빼 두고, 서버가 기록하는 원본 주소가 바로 설계가 설명해야 하는 주소임을 기억하십시오.

자신을 잠그지 않고 변경하십시오

원격 관리 인증을 변경하는 동안 콘솔이나 독립적인 관리 경로를 사용하고, 새 경로가 실제 로그인을 통과할 때까지 승인된 로컬 대체 수단을 유지하십시오. 그다음에는 좁게 검증하십시오. 서버 하나, 장비 하나, 양쪽 끝에서 관찰한 원본 주소를 동반한 성공적인 인증 하나입니다.

이 흐름은 전용 페이지에 기록하십시오. 시작 인터페이스와 주소, 원격 서버, 보호된 경로, 권한 부여 정책의 소유자입니다. 그러면 나중의 인터페이스나 터널 변경이 두 흐름 중 어느 쪽에 영향을 주는지 추측하지 않고 평가할 수 있습니다.