Сайттар аралык VPN иштейт, бирок ASA журналдары келбейт: булак дарегин текшериңиз

Ички хосттор алыскы жыйноочуга жетишет жана алардын syslog саптары көрүнөт. Ошол эле сессиялар тууралуу ASAнын өз билдирүүлөрү эч качан келбейт. Жыйноочуда да, туннелде да кемчилик жок, жана кыйын кылган бөлүк ушул. Брандмауэр журналдарын туннел эч качан коргоо үчүн курулбаган булактан жиберет.

Эмне келет жана эмне келбейт

Панелде бирдей көрүнгөн эки агымды бөлүүдөн баштаңыз. Багытталган трафик ASA аркылуу өтөт: LAN хост жыйноочуга жиберет, ASA аны туннел саясаты менен салыштырат, шифрлайт, жана жыйноочу хосттун дарегин көрөт. Түзүлгөн трафик ASAнын өзүндө башталат: түзмөк syslog пакетин курат, чыгуучу интерфейсти жана булакты тандайт, ошондон кийин гана кандайдыр бир туннел саясаты туура келеби деп сурайт. Биринчи агым туннелдин иштешин далилдейт жана экинчиси тууралуу эч нерсе айтпайт.

Түзмөктө буферленген окуя да алыскы жеткирүүнүн далили эмес, анткени журнал жергиликтүү болушу жана эч качан жиберилбеши мүмкүн. Туннелди күнөөлөөдөн мурун жыйноочунун кабыл алуу эсептегичтерин текшериңиз, анткени бош эсептегич өсүп жаткан эсептегичтен башка тыянак.

Түзүлгөн билдирүү багытталган трафик эмес

ASA пакетти өзү түзгөндө, ал LAN хосттун проксиси болуп эсептелбейт. Булак чыгуучу интерфейстен же ачык булак жөндөөсүнөн келет, жана пакет түзмөк жиберген башка нерселер сыяктуу эле ошол маршрут издөөгө жана саясат текшерүүлөрүнө кирет. Бул VPN селектору ASA чындыгында колдонгон даректи камтышы керек дегенди билдирет, жана бул көбүнчө ички субнет эмес, анын сырткы интерфейси.

Эгер саясат 10.20.0.0/24 тармагын коргосо жана ASA булак катары сырткы дарегин колдонсо, журнал пакети же жете албаган жыйноочуга ачык текст менен чыгат, же ыргытылат. Эки натыйжа тең жыйноочу тараптан бирдей көрүнөт. Ушул эле логика башкаруу трафигине да тиешелүү, ошондуктан management-access өзүнчө долбоордук чечим.

ASA тармакка кайсы булакты коёт

Булакты божомол менен эмес, эмпирикалык жол менен табыңыз. Сыноо билдирүүсү учурунда чыгуучу интерфейстеги жазуу чыныгы булакты жана багытты көрсөтөт, жана бул конфигурациянын үч бөлүмүн окууга караганда аз убакыт алат. Ал даректи туннелдин жергиликтүү селектору менен салыштырыңыз.

Айрым версиялар журнал булагын интерфейске бекитүүгө мүмкүндүк берет, жана сиздин версияңыз үчүн командалардын маалымдамасы бул опциянын бар-жогун жана эмнени өзгөртөрүн аныктаган ыйгарым укуктуу булак. Башка Cisco платформасынын source-interface командасы ASAда автоматтык түрдө жарактуу эмес.

Эгер булакты өзгөртсөңүз, аны атайын жасаңыз жана жазып коюңуз, анткени жыйноочунун ACLдери жана syslog негизиндеги ар кандай корреляция ага көз каранды.

Селекторду журнал агымына ылайыктаңыз

Булак белгилүү болгондон кийин үч нерсени ирети менен текшериңиз: кайсы трафик кызыктуу экенин чечкен крипто ACL же саясатка негизделген селектор, пакеттин кайда кетерин чечкен маршрут жана шифрлоодон мурун булакты кайра жаза алган ар кандай NAT эрежеси. Маршрутка туура келген, бирок селекторго туура келбеген пакет туннелден өтпөйт, ал эми NAT кайра жазган пакет экөөнүн бирине да туура келбеши мүмкүн.

Жыйноочу тараптын өз талаптары бар: ASAнын булагына уруксат берген ACL, кайтаруу маршруту жана сиз конфигурациялаган портто угуучу кызмат. Транспорт бул жерде да маанилүү, анткени жарым-жартылай тосулган жолдо TCP жана TLS журналдоо UDPден башкача жүрөт. Бир убакта бир элементти өзгөртүңүз, болбосо кийинки жазуу кайсы өзгөрүү маанилүү болгонун айтпайт.

Жыйноочуда текшериңиз, анан булакты жазып коюңуз

Билдирүүнүн келерин ырастаңыз, анан ASA колдонгон булак дарегин, аны ташыган селекторду жана сыноо жүргүзгөн олуттуулукту жазыңыз.

Бул жазуу жыйноочунун кийинки ACL өзгөртүүсүн же селекторду оңдоону кайра ачуунун ордуна эки мүнөттүк текшерүүгө айландырат. Ал ошондой эле эки агымдын кайсынысы качандыр бир текшерилгенин документтештирет, жана көптөгөн колдонмолор ушул бөлүктү таштап кетишет. Эгер билдирүү дагы эле келбесе, олуттуулук чегин убактылуу төмөндөтүп, бир багытка каршы сынаңыз.

Ciscoнун ASA журналдоо боюнча көп берилүүчү суроолор сырткы булагы бар жана тиешелүү корголгон трафик аныктамасын талап кылган учурду документтештирет, ал эми анын ички булагы бар мисалы ичинде журнал хостун да, ичинде management-accessти да камтыйт. Документтелген айкалышты жана программалык контекстти чогуу караңыз, бир көчүрүлгөн сап ар бир конфигурацияга туура келет деп эсептебей.

LAN трафигин ташыган туннел брандмауэрдин өз үнүн ташыган туннел эмес.