VPN ички тармагы ASA интерфейсинин коопсуздук деңгээлин алабы?

Шифри ачылган VPN ички тармагы интерфейстин коопсуздук деңгээлин эч качан мураска албайт. sysopt connection permit-vpn, топ чыпкасын жана башкаруу кирүүсүн өзүнчө текшериңиз.

Бирөө филиалдын VPN ички тармагынын ASA-да «коопсуздук деңгээли 0 же 100» бар-жогун сурайт, ал эми суроодо ката башынан эле бар. Коопсуздук деңгээли жергиликтүү интерфейстин касиети жана интерфейс конфигурациясында 0дөн 100гө чейин берилет. Туннел аркылуу келген алыскы тармак аны албайт, crypto map кандай жазылса да. Ошондуктан суроонун сандык жообу жок.

Практикалык кийинки суроо жакшыраак: кайсы саясат филиалды серверге киргизет жана кайсысы аны коргоо дубалынын өзүнөн алыс кармайт. Бул эки жооп, жана төмөнкү процедура аларды бөлөт.

Коопсуздук деңгээлдери интерфейстерге таандык

show running-config interface иштетиңиз, ошондо security-level ар бир физикалык же VLAN интерфейсинин астында көрүнөт, туннель тобунун же crypto map-дын астында эмес. Жогортон төмөнгө демейки уруксат ошол интерфейстердин ортосунда бааланат, ошондуктан сан өзү таандык жолдогу текшерүү жана жашыруун ACL жүрүм-турумун өзгөртөт.

Шифри ачылган VPN агымы үчүн кирүү дагы эле туннель бүткөн outside интерфейси, ал эми чыгуу серверге карай inside интерфейси. Бир нерсеге тийүүдөн мурун экөөнү тең жазып коюңуз. Ошол бир кадам башаламандыктын көбүн жок кылат, анткени абстрактуу ишеним суроосун интерфейстер жубуна айландырат.

ACL-ди айланып өтүүнүн аталган чек арасы бар

sysopt connection permit-vpn — адамдар VPN трафиги ACL-ди этибарга албайт дегенде жарым эстеп калган жөндөө. Ал VPN трафиги деп табылган трафик үчүн интерфейс ACL-ин чын эле өткөрүп жиберет, ал эми 9.x параметрлер жетектемеси аны глобалдык өзгөчөлүк жарыялоонун ордуна интерфейс жана багыт боюнча чектейт.

Эстен ой жүгүртүүдөн мурун эмне конфигурацияланганын текшериңиз:

  • show running-config all sysopt чыныгы маанини көрүү үчүн, демейки эмес саптарды гана эмес.
  • show running-config access-group кайсы ACL кайсы интерфейске жана багытка колдонулганын көрүү үчүн.
  • show vpn-sessiondb detail l2l сессия чын эле кайсы туннель тобун жана чыпканы колдонорун ырастоо үчүн.

VPN кирүүсүн катаалдатуу үчүн бул жөндөөнү өчүрүү таасири кенен өзгөртүү. Ал ар бир талапка жооп берген VPN агымын кайра сырткы ACL-ге баш ийдирет, бул адатта иштеп жаткан туннелдерди суралган филиалга тиешеси жок жолдор менен бузат.

Сессияга тиркелген чыпканы окуңуз

Ар бир туннель үчүн чыныгы көзөмөл — VPN чыпкасы: топ саясаты же колдонуучунун аты шилтеме кылган ACL, шифрди ачкандан кийин жана шифрлоодон мурун колдонулат. Колдонуучу деңгээлиндеги чыпка топ деңгээлиндеги маанини басып өтөт, ошондуктан бир туннель тобундагы эки адамдын натыйжалуу кирүүсү ар башка болушу мүмкүн.

Артыкчылыкты божомолдоонун ордуна ырастаңыз. show running-config group-policy <name> топтун маанисин көрсөтөт, ал эми show running-config username <name> колдонуучу боюнча маани бар-жогун көрсөтөт. Экөө тең болсо, колдонуучунун мааниси жеңет. Андан кийин ошол ACL-дин жазууларын сизди кызыктырган агым менен, чыпка баалаган багытта салыштырыңыз.

Колдонмо серверине жол берген чыпка башкаруу жөнүндө эч нерсе айтпайт. Булар өзүнчө жолдогу өзүнчө эрежелер.

Бир уруксатты жана бир баш тартууну текшериңиз

Packet-tracer — чечимди колдонуучу билдирүүсүн күтпөстөн көрүүнүн эң тез жолу. Ага шифри ачылган тараптын агымын бериңиз жана ал өткөн ACL, NAT жана текшерүү баскычтарын атасын.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Жыйынтык сабын окуңуз: ал пакетти уруксат берген же таштаган ACL-ди атайт.
  3. inside интерфейсиндеги административдик дарек менен кайталаңыз жана баш тартууну ырастаңыз.
  4. Ар бир өзгөртүүдөн кийин дагы бир жолу кайталаңыз, ошентип мурунку да, кийинки да абал жазылат.

Андан кийин чыныгы трафик менен текшериңиз: филиалдан бир ийгиликтүү колдонмо сурамы жана ASA-га бир ийгиликсиз SSH аракети. Packet-tracer жолду моделдейт; тирүү агым моделдин дал келгенин далилдейт.

Аны иштеткен өзгөртүүнү артка кайтарыңыз

Эгер оңдоо ACL-ди айланып өтүүнү өчүрүү же чыпканы кеңейтүү болсо, мурунку конфигурацияны сактаңыз. Өзгөртүүдөн мурун сакталган таасир эткен объектилердин show run тартуусу аларды калыбына келтирүү үчүн жетиштүү; ASA конфигурациясы сапка багытталган, ошондуктан кайтаруу эски саптарды кайра киргизүүнү билдирет, файлды калыбына келтирүүнү эмес.

Интерфейстер жубу, натыйжалуу чыпка, packet-tracer-ден алынган ACL аты жана өзгөрткөн так буйруктарыңызды жазып алыңыз. Бул жазуу кийинки кароону ишеним деңгээлдери тууралуу дагы бир талаш эмес, беш мүнөттүк текшерүүгө айландырат.

Тектеш макалалар