ASAнын TACACS+ суроолору филиал VPN туннелинен эмне үчүн өтпөйт

Филиал туннели иштеп турат, колдонуучулар алыскы TACACS+ серверинде аутентификациядан өтүшөт, бирок firewallдын өз кирүүсү дагы эле убакыт бүтүп ишке ашпайт. Себеби туннелдин катасы эмес: LAN-to-LAN туннели селекторлоруна туура келген трафикти ташыйт, ал эми ASA өзү тууралуу түзгөн башкаруу трафиги өз булак дареги бар өзүнчө агым. Көпчүлүк командалар муну өзгөртүү терезесинде, жалгыз администратордук эсеп ишке ашпай турган учурда табышат. ASA баштаган AAA сессиясын долбоорлоого тийиш болгон агым катары караңыз, мурунтан иштеп турган байланыштын терс таасири катары эмес.

ASA — кардар, жана анын өз трафигине өз жолу керек

Firewall TACACS+ серверине кайрылганда, firewall башка кардарлар сыяктуу эле, бирок ага эч ким атайылап маршрут конфигурациялаган эмес. Анын пакеттери түзмөктөгү интерфейс дарегинен чыгат, алар жөнөтүлбөстөн жергиликтүү түзүлөт, жана аларды колдонуучу трафиги сыяктуу эле маршруттоо, которуу жана саясат менен коргоо керек. Колдонуучунун ички тармагын коргогон сайттан сайтка туннель бул башкаруу булагын автоматтык түрдө коргобойт, анткени трафикти тандоо даректерге негизделген, ниетке эмес.

Сервер көрөт деп күткөн даректи жазып коюңуз. Эгер аны бир сапта айта албасаңыз, сизде азырынча долбоор жок.

aaa-server сабындагы интерфейс жасалга эмес

ASAда aaa-server хост жазуусу кашаанын ичинде интерфейс байланышын алат, жана Ciscoнун AAA хост буйруктарынын маалымдамасы аны аутентификация сервери жайгашкан интерфейс катары сүрөттөйт. Так ошол байланыш суроону интерфейс менен жана ошол интерфейс колдонгон саясат менен байланыштырат. Аны интернетке караган каалаган интерфейс боюнча тандоо же акыркы көчүрүүдөн калганын калтыруу — алыскы сервер жана туннель эч качан курулбаган булак дарегин берет.

inside аталган интерфейс долбооруңуз булак катары колдонмок болгон даректи камтыганда гана туура жооп. Филиал түзмөгүндө бул көбүнчө ошондой; бир нече жеке сегменти бар түзмөктө андай болбошу мүмкүн.

Байланышты өзгөртүү жазууну кайра түзүүнү билдирет

Ошол эле буйруктардын маалымдамасы өткөрүү учурунда адамдарды кармаган түзөтүү чектөөсүн документтештирет: бар хосттун интерфейсин өзгөртүү хост жазуусун алып салып, кайра түзүүнү талап кылат. Түзөтүлгөндөй көрүнгөн конфигурация күчүнө кирбеши мүмкүн, жана кийинки кирүү аракети дагы эле эски даректен чыгат. Муну ордунда оңдоо катары эмес, түпнуска жазуунун көчүрмөсү алдыңызда туруп өчүрүү жана кошуу катары пландаштырыңыз.

Эгер бир нече сервер аныкталган болсо, бирөөнү өзгөртүп, калгандарына тийүүдөн мурун аны сынап көрүңүз, ката бир убакта бардык административдик жолдорду жаап койбосун.

Селекторлорду, которууну жана кайтуу жолун бирге текшериңиз

Суроо жетүү үчүн үч нерсе дал келиши керек. Туннелдин трафик селекторлору, же туннель интерфейсинин коргоосу, эгер колдонсоңуз, ASAнын өз булагын жана сервердин дарегин камтышы керек; колдонуучунун ички тармактары үчүн түзүлгөн селекторлор тизмеси адатта аны камтый албайт. Жолдогу ар кандай NAT эрежеси ошол булакты ырааттуу которушу керек, анткени сервер өзү көргөн даректи камтыган тармактык түзмөктүн инсандыгын авторизациялайт. Жана кайтуу жолу болушу керек, бул саясатка негизделген туннелде каршы тарапта карама-каршы багытта дал келген селектор бар дегенди билдирет.

Сервер тарапта түзмөктүн инсандыгын, жалпы сырды жана административдик саясатты өзүнчө ырастаңыз. TACACS+ аутентификацияны, авторизацияны жана эсепти өзүнчө операциялар катары кармайт, ошондуктан аяктаган алмашуудан кийин келген баш тартуу — саясаттын жообу, ташуунун бузулушу эмес. Аны тармак маселеси катары окуу сизди туура эмес жерден издөөгө жиберет.

Оңдоо учурунда сырды пакет жазууларынан, билеттерден жана транскрипттерден тышкары кармаңыз, жана сервер жаза турган булак дареги — долбооруңуз түшүндүрүүгө тийиш болгон дарек экенин унутпаңыз.

Өзүңүздү кулпулабастан өзгөртүүнү жасаңыз

Алыскы административдик аутентификацияны өзгөртүп жатканда консолду же көз карандысыз башкаруу жолун колдонуңуз, жана жаңы жол чыныгы кирүүнү өткөрмөйүнчө бекитилген жергиликтүү альтернативаны кармаңыз. Андан кийин тар текшериңиз: бир сервер, бир түзмөк, эки тарапта байкалган булак дареги менен бир ийгиликтүү аутентификация.

Агымды өзүнүн бетине жазыңыз: баштапкы интерфейс жана дарек, алыскы сервер, корголгон жол жана авторизация саясатынын ээси болгон адам. Ошондо кийинки интерфейс же туннель өзгөрүүсү эки агымдын кайсынысына таасир этээрин болжолдобостон баалоого болот.