VPN дешифровка кылгандан кийин трафикти кайсы ASA эрежеси көрөт

Эң оболу четке кагуу керек болгон божомол — крипто ACL кирүү саясаты деген түшүнүк. Андай эмес. Cisco ASA долбоорунда бул тизме бир тар суроого жооп берет: кайсы пакеттер коргоого татыктуу, жана бул жооп дешифровкаланган пакеттин брандмауэрдин артындагы серверге жете алары жөнүндө эч нерсе айтпайды. Кирүү боюнча кийинчерээк чечим кабыл алынат — интерфейс саясаты, топтук саясаттын чыпкасы же экөө тең менен, туннелдин кантип курулганына жараша.

Крипто ACL башка суроого жооп берет

Крипто ACL — дал келүү тизмеси. Ал туннелге эки тараптын ортосунда эмнени шифрлөөнү айтат; ага дал келбеген пакет жөн гана корголбойт. Аны кеңейтүү коргоонун көлөмүн өзгөртөт, башка эч нерсени эмес.

Ошондуктан ал жерге кошумча тармак кошуу туннелди көтөрүшү мүмкүн, ал эми колдонмонун өзү иштебей калат. Туннел көтөрүлдү, анткени эми дал келүү бар. Колдонмо иштебей жатат, анткени ал тизмеде эч нерсе эч нерсеге уруксат бербейт. Эки башка суроо, эки башка тизме.

Айланып өтүү жөндөөсү чындыгында эмнени өткөрүп жиберет

sysopt connection permit-vpn корголгон трафикке кирүү тарабында болбосо колдонулуучу интерфейс ACL текшерүүсүн өткөрүп жиберүүгө мүмкүндүк берет. Бул VPN жайгаштыруулар үчүн ыңгайлуулук жана ал глобалдык. Ал топтук саясатка тийбейт жана колдонуучу боюнча авторизация чыпкасына да тийбейт.

Божомолдун ордуна чыныгы маанини окуңуз: show running-config all sysopt жөндөөнү ал эч качан ачык конфигурацияланбаса да басып чыгарат, жана көп баш аламандык ушундан башталат.

Жөндөө глобалдык болгондуктан, аны бир иштебей турган кошумча тармакта тез эксперимент катары текшерүү — жаман алмашуу. Ошол брандмауэрдеги калган бардык туннелдер жыйынтыкты бөлүшөт. Аны артка кайтаруу планы бар атайын өзгөртүүгө сактаңыз.

Чыпканы дешифровка багытында окуңуз

LAN-to-LAN vpn-filter интерфейстин эмес, туннелдин көз карашынан жазылат. Алыскы тармак булак ордуна, ал эми жергиликтүү тармак багыт ордуна коюлат, анткени дешифровкадан кийин пакет ошентип көрүнөт. Андан кийин ошол эле чыпка шифрлөөдөн мурун карама-каршы багытта кайра бааланат, даректердин ролдору оодарылат.

Порт шарттары көчүрүлгөн интерфейс ACLге караганда көбүрөөк көңүл бурууга татыктуу, дал ушундан улам. Бир багыт портуна уруксат берген эреже карама-каршы багытта күтүлбөгөн таасир тийгизиши мүмкүн, анда жаңы байланыш ошол портту өзүнүн булагы катары колдонот. Тизмени түзөөрдөн мурун кайсы тарап баштай аларын, чыныгы кызматты жана жабык бойдон калышы керек болгон каршы тарапты жазып алыңыз.

Кайсы чыпка чындыгында тиркелгенин ырастаңыз: show running-config group-policy жана show vpn-sessiondb detail l2l бирге сессия эмнени мураска алганын айтышат. Эч бир саясат шилтеме кылбаган ACLди оңдоо эч нерсени өзгөртпөйт.

Бир ACL объектин эки ишке пайдаланбаңыз

Интерфейстин access-group жана vpn-filter бир түрдөгү объектиге окшошот жана ар башка чекиттерде ар башка дарек багыты менен бааланат. Бир тизмени экөөнө тең берүү туннелди оңдоп, физикалык интерфейсти үнсүз бошото турган өзгөртүүгө чакырат.

Аларды өз-өзүнчө кармаңыз, ишине жараша атаңыз жана багыт айырмасы аттарда көрүнүп турсун.

Жаңы байланыштар менен, эки багытта тең текшериңиз

Пландалган өзгөртүүдөн кийин уруксат берилиши керек болгон бир жаңы байланышты жана четке кагышы керек болгон бир жаңы байланышты ачыңыз, анан даректерди, багытты жана саясат дал келүүсүн жыйынтык менен бирге жазыңыз. Орнотулган сессия жаңы байланыштарды чыпкалоо жөнүндө эч нерсени далилдебейт, анткени ал эски эрежелер менен эле өткөрүлүп кеткен.

Инспекцияны да эске алыңыз. Өндүрүүчүнүн документтери VPN чыпкасы инспекция кыймылдаткычы ачкан ар бир экинчи байланышты эмес, баштапкы байланышты текшерерин белгилейт, ошондуктан башкаруу каналы жана ага тиешелүү медиа агымы башка мамиле алышы мүмкүн. Колдонмо протоколду тааныса, бир порт зондунун ордуна чыныгы агымды текшериңиз.

Кенен айланып өтүүдөн кийин колдонууга жарактуу болгон туннел чектөө алынып салынганын айтат, ал эми аткарылганын эмес. Сактоого татыктуу жыйынтык — кийинки кароодо көрсөтө ала турган аталган аткаруу чекити.