Site-VPN funktionnéiert, awer ASA-Logs kommen net: kontrolléiert d’Quelladress

Intern Hosts erreechen deen entfernte Sammler an hir syslog-Zeile erschéngen. D’Messagë vun der ASA selwer iwwer déi selwecht Sessiounen kommen ni un. Weder mam Sammler nach mam Tunnel ass eppes falsch, an dat ass deen Deel deen duercherneen bréngt. D’Firewall schéckt hir Logen aus enger Quell, fir déi den Tunnel ni gebaut gouf.

Wat ukënnt a wat net

Fänkt domat un, zwee Stroum ze trennen, déi op engem Dashboard identesch ausgesinn. Iwwergeluede Trafic geet duerch d’ASA: en LAN-Host schéckt un de Sammler, d’ASA vergläicht en mat der Tunnelpolitik, verschlësselt en, an de Sammler gesäit d’Adress vum Host. Generéierten Trafic fänkt op der ASA selwer un: d’Apparatur baut e syslog-Paket, wielt eng Ausgangsinterface an eng Quell a freet eréischt duerno, ob eng Tunnelpolitik entsprécht. Dee éischte Stroum beweist, datt den Tunnel funktionnéiert, an hie seet näischt iwwer den zweeten.

E gepufferte Evenement op der Apparatur ass och keen Beweis fir eng entfernt Liwwerung, well de Log lokal existéiere kann an ni geschéckt gouf. Kontrolléiert dem Sammler seng Empfangszähler, ier Dir den Tunnel beschëllegt, well en eidelen Zähler eng aner Erkenntnis ass wéi een, deen wiisst.

Eng generéiert Noriicht ass keen iwwergelueden Trafic

Wann d’ASA selwer e Paket generéiert, ass se net am Proxye vun engem LAN-Host. D’Quell kënnt vun der Ausgangsinterface oder vun enger expliziter Quellastellung, an d’Paket geet duerch déi selwecht Routensich an déi selwecht Politikchecken wéi alles anescht, wat d’Apparatur schéckt. Dat heescht, de VPN-Selekter muss d’Adress enthalen, déi d’ASA tatsächlech benotzt, an dat ass dacks hir baussenzeg Interface an net en internen Subnet.

Wann d’Politik 10.20.0.0/24 schützt an d’ASA hir baussenzeg Adress als Quell benotzt, dann geet de Logpaket entweder am kloeren Text op e Sammler zou, deen en net erreeche kann, oder en gëtt verworf. Béid Resultater gesinn aus der Siicht vum Sammler identesch aus. Déi selwecht Iwwerleeung gëllt fir de Verwaltungstrafic, dofir ass management-access eng eege Designentscheedung.

Wéi eng Quell d’ASA op den Netz setzt

Fannd d’Quell empirisch a net duerch Unhuelen. Eng Opnam op der Ausgangsinterface während enger Testnoriicht weist déi tatsächlech Quell an d’Zil, an et kascht manner Zäit wéi dräi Konfiguratiounssektiounen ze liesen. Vergläicht déi Adress mat dem lokale Selekter vum Tunnel.

Verschidde Versiounen erlaben et, d’Logquell un eng Interface ze bannen, an d’Kommandoereferenz fir Är Versioun ass d’Autoritéit dofir, ob déi Optioun existéiert an wat se ännert. Eng source-interface-Kommando vun enger anerer Cisco-Plattform ass net automatesch gülteg op enger ASA.

Wann Dir d’Quell ännert, maacht et bewosst a notéiert et, well d’ACLe vum Sammler an all Korrelatioun, déi op syslog opgebaut ass, dovu ofhänken.

Passt de Selekter un de Logstroum un

Soubal d’Quell bekannt ass, kontrolléiert dräi Saachen an der Rei: de Krypto-ACL oder de politikbaséierte Selekter, deen entscheet, wéi en Trafic interessant ass, d’Route, déi entscheet, wou d’Paket hi geet, an all NAT-Regel, déi d’Quell virun der Verschlësselung ëmschreiwe kéint. E Paket, dat op d’Route passt awer net op de Selekter, gëtt net getunnelt, an e Paket, dat vun NAT ëmgeschriwwe gëtt, passt vläicht op keen vun deene zwee.

D’Säit vum Sammler huet hir eege Fuerderungen: en ACL, deen d’Quell vun der ASA erlaabt, eng Retourroute an en héierende Service op dem Port, deen Dir konfiguréiert hutt. Den Transport zielt hei och, well TCP- an TLS-Logging sech anescht behuele wéi UDP op engem deelweis gespaarten Wee. Ännert ee Element zur Zäit, soss seet Iech déi nächst Opnam net, wéi eng Ännerung gezielt huet.

Verifizéiert beim Sammler, dann notéiert d’Quell

Bestätegt, datt d’Noriicht ukënnt, schreift dann d’Quelladress op, déi d’ASA benotzt huet, de Selekter, deen se gedroen huet, an d’Schwéier déi Dir getest hutt.

Dee Rekord mécht déi nächst ACL-Ännerung oder Selekter-Editioun vum Sammler zu enger Kontroll vun zwou Minutten amplaz enger Neientdeckung. En dokumentéiert och, wei ee vun den zwee Stroum jeemools validéiert gouf, an dat ass deen Deel, deen déi meescht Runbooken ausloossen. Wann d’Noriicht nach ëmmer net ukënnt, sénkt temporär d’Schwéier-Grenz an testt géint een eenzegt Zil.

Dem Cisco FAQ iwwer ASA-Logging dokumentéiert e Fall mat enger baussenzeger Quell, deen déi entspriechend Definition vu geschützten Trafic brauch, an säi Beispill mat enger internen Quell enthält souwuel en Loghost bannen wéi och management-access bannen. Behandelt déi dokumentéiert Kombinatioun an de Softwarekontext zesummen, amplaz unzehuelen, datt eng kopéiert Zeil op all Konfiguratioun passt.

En Tunnel, deen LAN-Trafic dréit, ass keen Tunnel, deen d’Firewall hir eege Stëmm dréit.