Firwat d'TACACS+-Ufroen vun der ASA de Branchen-VPN-Tunnel ëmgoen

Den Branchentunnel steet, d'Benotzer authentifizéieren sech um wäitem TACACS+-Server, an d'Umeldung vun der Firewall selwer leeft nach ëmmer an en Timeout. D'Ursaach ass kee Feeler am Tunnel: en LAN-to-LAN-Tunnel transportéiert Verkéier, dee mat senge Selektoren iwwereneenstemmt, an de Management-Verkéier, deen d'ASA iwwer sech selwer generéiert, ass en eegene Floss mat enger eegener Quelladress. Déi meescht Teams entdecken dat wärend engem Ännerungsfënster, wann deen eenzegen Administrateur-Kont deen ass, dee feelt. Behandelt d'AAA-Sessioun, déi d'ASA startet, als e Floss, deen Dir desigene musst, an net als eng Niewewierkung vun enger Konnektivitéit, déi schonn fonctionéiert.

D'ASA ass de Client, an hirem eegene Verkéier brauch hiren eegene Wee

Wann d'Firewall e TACACS+-Server kontaktéiert, ass d'Firewall e Client wéi all aneren, just datt keen bewosst eng Route fir si konfiguréiert huet. Hir Pakete kommen vun enger Interface-Adress um Apparat, si ginn lokal generéiert amplaz virugeleet, an si musse geroutet, iwwersat a mat Politik geschützt ginn, genau wéi Benotzerverkéier. En Site-zu-Site-Tunnel, deen en Benotzer-Subnetz schützt, schützt déi Management-Quell net automatesch, well d'Verkéiersauswiel op Adressen an net op Absicht baséiert.

Schreift d'Adress op, déi Dir erwaart, datt de Server gesäit. Wann Dir se net an enger Linn kënnt soen, hutt Dir nach keen Design.

Den Interface an der aaa-server-Linn ass keng Dekoratioun

Op der ASA hëlt den Host-Andrag aaa-server eng Interface-Zouuerdnung a Klammeren, an dem Cisco seng Befehlsreferenz fir AAA-Hosten beschreift se als den Interface, wou de Authentifizéierungsserver läit. Genee déi Zouuerdnung bënnt d'Ufro un en Interface an un d'Politik, déi deen Interface uwent. Wann een se no deem Interface auswielt, deen op den Internet weist, oder léisst wat vun der leschter Migratioun iwwreg war, entsteet eng Quelladress, fir déi de wäite Server an den Tunnel ni gebaut goufen.

inside ass nëmmen déi richteg Äntwert, wann den genannten Interface déi Adress huet, déi Ären Design als Quell notze wëll. Op engem Branchenapparat ass dat dacks esou; op engem Apparat mat méi private Segmenter vläicht net.

D'Zouuerdnung änneren heescht den Andrag nei uleeën

Déiselwecht Befehlsreferenz dokumentéiert eng Ännerungsbeschränkung, déi d'Leit bei Iwwerleeungen erfaasst: den Interface op engem bestoenden Host ze änneren erfuerdert, den Host-Andrag ze läschen an nei unzeleeën. Eng Konfiguratioun, déi geännert ausgesäit, huet vläicht net gegraff, an den nächsten Umeldversuch geet nach ëmmer vun der aler Adress aus. Plangt dat als Läschen a Bäisetzen mat enger Kopie vum Original-Andrag virun Iech, an net als Ännerung op der Plaz.

Wann et méi Serveren definéiert sinn, ännert een a testt en, ier Dir déi aner beréiert, soudatt e Feeler net all administrativ Weeër op eemol spärrt.

Kontrolléiert Selektoren, Iwwersetzung an de Retourwee zesummen

Dräi Saachen musse sech eens ginn, fir datt d'Ufro ukënnt. D'Verkéiersselektoren vum Tunnel, oder den Tunnel-Interface-Schutz wann Dir een hutt, musse d'eegen Quell vun der ASA an d'Adress vum Server enthalen; eng Selektorenlëscht, déi fir Benotzer-Subnetzer gebaut gouf, wäert dat normalerweis net maachen. Eng all NAT-Regel um Wee muss déi Quell konsequent iwwersetzen, well de Server eng Netzwierkapparat-Identitéit autoriséiert, déi d'Adress enthält, déi en gesäit. An de Retourwee muss existéieren, wat bei engem politikbaséierten Tunnel heescht, datt déi wäit Säit en entspriechende Selekter an der anerer Richtung huet.

Op der Serversäit bestätegt d'Apparatidentitéit, de gedeelte Geheimnis an d'administrativ Politik getrennt. TACACS+ hält Authentifizéierung, Autorisatioun an Accountabilitéit als getrennt Operatiounen, also ass eng Oflehnung, déi no engem fäerdegen Austausch kënnt, eng Politikäntwert an net e Transportfeeler. Se als Netzwierkproblem ze liesen schéckt Iech op déi falsch Plaz sichen.

Halt de Geheimnis beim Debuggen aus Opnamen, Ticketen an Transkriptiounen eraus, a denkt drun, datt d'Quelladress, déi de Server logt, déi ass, déi Ären Design muss erklären.

Maacht d'Ännerung, ouni Iech auszeschléissen

Benotzt eng Konsole oder en onofhängege Management-Wee, wärend Dir déi wäit administrativ Authentifizéierung ännert, a haalt en approuvéierte lokale Fallback, bis deen neie Wee eng richteg Umeldung gedroe huet. Validéiert duerno schmuel: ee Server, een Apparat, eng erfollegräich Authentifizéierung mat der Quelladress op béide Säiten observéiert.

Notéiert de Floss op senger eegener Säit: Ursprungsinterface an -adress, wäite Server, geschützte Wee an déi Persoun, déi d'Autorisatiounspolitik besëtzt. Duerno kann eng spéider Interface- oder Tunnelännerung bewäert ginn, ouni ze roden, wéi ee vun den zwéi Floss se betrëfft.