Wéi eng ASA-Regel gesäit den Traffic nodeems de VPN en entschlësselt huet

Déi éischt Usiicht, déi ee fale loosse soll, ass datt d'Krypto-ACL eng Zougangspolitik ass. Dat ass se net. Op enger Cisco ASA beäntwert déi Lëscht eng schmuel Fro: wéi eng Pakete Schutz verdéngen, an déi Äntwert seet näischt doriwwer, ob de entschlësselte Pak de Server hannert der Firewall erreeche kann. Den Zougang gëtt méi spéit decidéiert, duerch eng Interfacepolitik, duerch e Gruppepolitikfilter oder duerch béides, jee nodeem wéi den Tunnel gebaut gouf.

D'Krypto-ACL beäntwert eng aner Fro

Eng Krypto-ACL ass eng Iwwereneestëmmungslëscht. Se seet dem Tunnel wat tëscht zwou Säiten verschlësselt soll ginn; e Pak deen net dozou passt, ass einfach net geschützt. Se ze vergréisseren ännert de Schutzëmfang an näischt anescht.

Dofir kann eng Subnetz dobäi en Tunnel eropbréngen, wärend déi eigentlech Applikatioun nach ëmmer feelt. Den Tunnel ass uewen, well et elo eng Iwwereneestëmmung gëtt. D'Applikatioun feelt nach ëmmer, well näischt op där Lëscht näischt erlaabt. Zwou verschidde Froe, zwou verschidde Lëschten.

Wat d'Bypass-Astelluing wierklech iwwerspréngt

sysopt connection permit-vpn léisst geschützten Traffic d'Interface-ACL-Kontroll iwwersprangen, déi soss op der Inbound-Säit géif gëllen. Et ass eng Erliichterung fir VPN-Asätz, an et ass global. Et beréiert d'Gruppepolitik net an et beréiert en Autorisatiounsfilter pro Benotzer net.

Liest de reelle Wäert amplaz vun der Usiicht: show running-config all sysopt dréckt d'Astelluing och dann aus, wann se ni explizit konfiguréiert gouf, an do fänkt vill Duercherneen un.

Well d'Astelluing global ass, ass et en schlechten Tausch, se als séieren Experiment op enger eenzeger feelerhafter Subnetz ze testen. All aneren Tunnel op där Firewall deelt d'Resultat. Spuert se fir eng bewosst Ännerung mat engem Ëmwee-Plang.

Liest de Filter an der entschlësselter Richtung

Eng LAN-to-LAN-vpn-filter gëtt aus dem Bléckwénkel vum Tunnel geschriwwen, net vum Interface. D'Remote-Netzwierk kënnt op d'Quellpositioun an dat lokal Netzwierk op d'Destinatiounspositioun, well sou gesäit de Pak no der Entschlësselung aus. Deen selwechte Filter gëtt duerno virun der Verschlësselung nach eng Kéier an der Géigewäerrichtung evaluéiert, mat ëmgedréiten Adressrollen.

Port-Konditioune verdéngen méi Suecht wéi eng kopéiert Interface-ACL, genau duerfir. Eng Regel déi ee Destinatiounsport erlaabt, kann an der Géigewäerrichtung eng ongewollt Wierkung hunn, wou eng nei Verbindung dee Port als Quell benotzt. Schreift op, wéi eng Säit däerf initiéieren, wat de reelle Service ass a wéi en Géigendeel zou misst bleiwen, ier Dir d'Lëscht baut.

Bestätegt, wéi e Filter tatsächlech ugehänkt ass: show running-config group-policy an show vpn-sessiondb detail l2l soen zesummen, wat d'Sessioun geierft huet. Eng ACL änneren, op déi keng Politik verweist, ännert näischt.

Benotzt net een ACL-Objekt fir zwou Aarbechten

En Interface-access-group an eng vpn-filter gesinn aus wéi déiselwen Zort Objekt a ginn op verschiddene Punkte mat verschiddener Adressorientéierung evaluéiert. Eng Lëscht béiden zouweises invitéiert eng Ännerung, déi den Tunnel fléckt an de physeschen Interface stomm opmécht.

Hält se getrennt, nennt se no hirer Aarbecht, a loosst den Ënnerscheed an der Richtung an den Nimm sichtbar ginn.

Verifizéiert mat neie Verbindungen, a béide Richtungen

Nom enger geplangter Ännerung, öffnet eng nei Verbindung déi soll erlaabt ginn an eng nei Verbindung déi soll ofgeleent ginn, an notéiert duerno d'Adressen, d'Richtung an d'Politiksiwwereneestëmmung mam Resultat. Eng etabléiert Sessioun beweist näischt iwwer d'Filtere vun neie Verbindungen, well se schonn ënner den ale Regelen eragelooss gouf.

Rechent och mat der Inspektioun. D'Dokumentatioun vum Hiersteller bemierkt, datt e VPN-Filter déi éischt Verbindung kontrolléiert an net all Sekundärverbindung déi eng Inspektiounsmaschinn opmécht, sou datt e Kontrollkanal a säi Mediaflow verschidde Behandlung kënne kréien. Wann d'Applikatioun de Protokoll kennt, test de reelle Floss amplaz vun enger eenzeger Portsonde.

En Tunnel, deen no engem breede Bypass brauchbar gëtt, seet datt d'Restriktioun ewechgeholl gouf, net datt se erfëllt gouf. D'Resultat dat et wäert ass ze behalen ass en nenne Punkt vun Duerchsetzung, op deen Dir an der nächster Iwwerpréiwung weise kënnt.