ASA'нын алыскы колдонуучусу ички тармакка жетет, бирок колдонмого эмнеге жетпейт
Маршруттар туннелдин иштешин далилдейт, колдонуучунун колдонмону ача аларын эмес. Сессия алган чыпканы окуп, андан кийин уруксат берилген жана четке кагылган туташууну текшериңиз.
Сиздин колдонуучуңуз туташат, дарек алат, колдонмонун ички тармагындагы серверге пинг жөнөтөт, бирок анын үстүндөгү кызматты ача албайт. Бул айкалыш ASA үчүн кадимки, анткени ийгиликтүү туннель менен пайдаланууга жарактуу уруксатты ар башка жөндөөлөр чечет. Бөлүнгөн туннелдин тизмеси кайсы багыттар туннелге кирерин тандады; VPN чыпкасы жана багыттын өз мүмкүнчүлүк эрежелери чечилген суроо эмнеге жете аларын аныктайт. Маршрут тизмесин кеңейтүүнүн ордуна үч чечимди кезеги менен карап чыгыңыз, бир нерсе өзгөргөнгө чейин.
Аралаштырууга жеңил үч чечим
Кирүү колдонуучу туннелди такыр кура аларын жооп кылат: эсептик маалыматтар, сертификат жана каалаган экинчи фактор. Маршрут тандоо клиент кайсы багыттарды ошол туннелге жиберерин жооп кылат. Авторизация чечилген суроо кызматка жете аларын жооп кылат. Колдонуучу билдирген катаны үчүнчүсү гана жаратат.
Аларды ажыратуунун тез жолу — өзгөртүү эмнени бузарын суроо. Бөлүнгөн тизмеден маршрутту алып салуу ошол ички тармакка трафикти токтотот, бирок эч нерсе бербейт; VPN чыпкасына ACE кошуу багыт берет, бирок клиент туннелге эмнени салганын өзгөртпөйт.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Сессия чындап алган чыпканы окуңуз
Колдонулат деп ойлогон конфигурациядан эмес, тирүү сессиядан баштаңыз. show vpn-sessiondb detail anyconnect дайындалган топтук саясатты жана ошол сессияга тиркелген чыпканын атын басып чыгарат. Талаа бош болсо, эч бир чыпка эч нерсени аткарбайт жана бөгөт башка жерден келет.
Андан кийин мааниге ээ саясатты, демейки маанилерди кошуп окуңуз, анткени чыпка мурас катары келиши мүмкүн, сиз карап жаткан жерде жазылбашы ыктымал:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Сессиядагы чыпканын атын жаңы эле оңдогон ACL менен салыштырыңыз. Колдонуучу эч качан албаган окшош аттуу ACL ошол сессиянын ресурстук саясатын өзгөртө албайт, жана туура көрүнгөн өзгөртүүнүн таасири болбошунун эң кеңири тараган себеби ушул.
Артыкчылык калганын түшүндүрөт. Чыпка жөндөөсү үчүн DAP жазуусу колдонуучу атынын атрибуттарынан артык, ал эми колдонуучу атынын атрибуттары топтук саясаттан артык. Сессия күтүлбөгөн чыпканы көрсөтсө, топко тийүүдөн мурун ошол колдонуучуга туура келген DAP саясатын издеңиз.
Бөлүнгөн тизме жана чыпка өзүнчө талаалар
ASA 9.x'те топтук саясат split-tunnel-network-list жана vpn-filter башка жөндөөлөр катары сактайт, жана 9.22 топтук саясат колдонмосу дал ошол себептен аларды өзүнчө документтештирет. Тармак тизмеси клиент үчүн маршруттоо белгиси; чыпка чечилген трафикке колдонулуучу кирүүнү көзөмөлдөө тизмеси.
Бул айырма колдонуучуга ички тармакта бир гана HTTPS кызматы керек болгондо маанилүү. Ички тармакты бөлүнгөн тизмеге салып, пакеттер туннелге кирсин, анан чыпкада ошол кызматка гана уруксат бериңиз. Маршрут тизмесин кеңейтүү эч нерсеге укук бербейт, ал эми аны тарытуу — аткаруу механизми эмес.
Интерфейс ACL жолдо бар-жогун текшериңиз
Чечилген алыскы кирүү трафиги адамдар ойлогондой ар дайым тышкы интерфейстин ACL аркылуу өтпөйт. sysopt connection permit-vpn күйгүзүлгөн жерде ASA ошол трафикке өзүнүн документтелген VPN айланып өтүүсүн колдонот, ал эми тиешелүү VPN чыпкалары андан кийин да күчүндө. Жөндөөнү топология диаграммасынан ой жүгүртүүнүн ордуна show run all sysopt аркылуу текшериңиз.
Кандай болбосун, багыттоочу хосттун өз файрволу жана колдонмонун авторизациясы жолдо калат. TCP 443кө уруксат берген ASA эрежеси колдонмону колдонуучуну кабыл алууга мажбурлабайт.
Өзгөртүүнү четке кагылган туташуу менен да кабыл алыңыз
Бир гана уруксат берилген сыноо өтө аз нерсени далилдейт, анткени иштеген туннель чыпка бар-жогуна карабастан ошол эле биринчи пакетти жаратат. Клиенттен көздөлгөн кызматты ачыңыз, анан жабык калышы керек болгон багытты сынап, анын туура себептен ишке ашпаганын ырастаңыз.
Тикетти жабууда төрт фактыны жазыңыз: кабыл алынган инсан, сессия чындап алган саясат жана чыпка, бөлүнгөн тизмедеги багыттар жана колдонуучуга жетүүгө уруксат берилген ресурс. Бул төртөө маршрут тизмесин файрволго айландырбастан трафиктин кайда көзөмөлдөнөрүн түшүндүрөт.
Чыпка уруксат бергенден кийин да кызмат четке какса, хостко өтүңүз: угуу дареги, хосттун файрволу жана колдонмонун өз колдонуучуларын картага түшүрүү. Ошол учурда туннель өз ишин аткарды, ал эми ASA'дагы андан аркы өзгөртүүлөр тек гана тобокелдикти кошот.