Ierft en VPN-Subnetz d'Sécherheetsniveau vum ASA-Interface?

En entschlësselte VPN-Subnetz ierft ni d'Sécherheetsniveau vun engem Interface. Kontrolléiert sysopt connection permit-vpn, de Gruppefilter an den Administratiounsaccès getrennt.

Een freet, ob de VPN-Subnetz vun der Filial op der ASA „Sécherheetsniveau 0 oder 100“ huet, an d'Fro enthält schonn de Feeler. Sécherheetsniveau ass eng Eegeschaft vun engem lokalen Interface a gëtt an der Interface-Konfiguratioun vun 0 bis 100 zougewisen. En entfernte Subnetz, deen duerch en Tunnel kënnt, kritt keng, egal wéi d'Crypto Map geschriwwe gëtt. Dofir huet d'Fro keng numeresch Äntwert.

Déi praktesch Nofro ass besser: wéi eng Politick d'Filial op de Server léisst, a wéi eng se vun der Firewall selwer ewechhält. Dat sinn zwou Äntwerten, an de Prozedur hei drënner trennt se.

Sécherheetsniveauen gehéieren zu den Interfaces

Féiert show running-config interface aus, an Dir gesitt security-level ënner all physeschen Interface oder VLAN-Interface, net ënnert der Tunnelgrupp oder der Crypto Map. D'Standarderlaabnes vun héich op niddreg gëtt tëscht dësen Interfaces bewäert, dofir ännert d'Zuel d'Inspektiouns- an déi implizit ACL-Verhalen op deem Wee, zu deem se gehéiert.

Fir en entschlësselte VPN-Floss ass den Agang nach ëmmer den Outside-Interface, wou den Tunnel ophält, an den Ausgang ass den Inside-Interface Richtung Server. Schreift béid op, ier Dir eppes ufaasst. Dee eenzege Schrëtt hëlt de gréissten Deel vun der Duercherneen ewech, well en eng abstrakt Vertrauensfro an en Interface-Puer ëmwandelt.

D'ACL-Ëmgoe huet eng benannte Grenz

sysopt connection permit-vpn ass d'Astelllung, un déi d'Leit sech hallef erënneren, wann se soen, datt VPN-Trafic ACLen ignoréiert. Et iwwerspréngt tatsächlech d'Interface-ACL fir Trafic, deen als VPN-Trafic qualifizéiert, an de Parameterhandbuch fir 9.x begrenzt et pro Interface a Richtung, amplaz eng global Ausnam ze deklaréieren.

Kontrolléiert, wat konfiguréiert ass, ier Dir aus dem Gediechtnes schlussfolgert:

  • show running-config all sysopt fir de richtegen Wäert ze gesinn, net nëmmen déi net-standard Linnen.
  • show running-config access-group fir ze gesinn, wéi eng ACL op wéi en Interface a Richtung ugewannt gëtt.
  • show vpn-sessiondb detail l2l fir ze confirméieren, wéi eng Tunnelgrupp a wéi e Filter d'Sitzung tatsächlech benotzt.

Dës Astellung auszeschalten, fir den VPN-Accès ze verschäerfen, ass eng Ännerung mat grousser Auswierkung. Et ënnerwërft all qualifizéierte VPN-Floss nees der baussenzeger ACL, wat normalerweis funktionéierend Tunnele op Manéieren zerbricht, déi näischt mat der Filial ze dinn hunn, no där Dir gefrot gouft.

Liest de Filter, deen un d'Sitzung hänkt

Déi richteg Kontroll pro Tunnel ass de VPN-Filter: eng ACL, op déi eng Gruppepolitik oder e Benotzernumm verweist, ugewannt no der Entschlësselung an virun der Verschlësselung. E Filter op Benotzerniveau iwwerschreift de Wäert op Gruppenniveau, sou datt zwee Leit an der selwechter Tunnelgrupp ënnerschiddlechen effektiven Accès kënnen hunn.

Confirméiert d'Prioritéit, amplaz se unzehuelen. show running-config group-policy <name> weist de Gruppewäert, an show running-config username <name> weist, ob et e Wäert pro Benotzer gëtt. Wann béid bestinn, gewënnt de Benotzerwäert. Vergläicht duerno d'Anträg vun där ACL mam Floss, deen Iech interesséiert, an der Richtung, an där de Filter bewäert.

E Filter, deen den Applikatiounsserver erlaabt, seet näischt iwwer d'Administratioun. Dat sinn getrennt Regele op engem getrennte Wee.

Verifizéiert eng Erlaabnes an eng Oflehnung

Packet-tracer ass de séiersten Wee, fir d'Entscheedung ze gesinn, ouni ze waarden, bis e Benotzer se mellen. Gitt him de Floss vun der entschlësselter Säit a loosst en d'ACL-, NAT- an Inspektiounsphasen nennen, duerch déi en geet.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Liest d'Resultatslinn: si nennt d'ACL, déi de Pak erlaabt oder verworf huet.
  3. Widderhuelt mat dem administrativen Zil um Inside-Interface a confirméiert eng Oflehnung.
  4. Widderhuelt nach eng Kéier no all Ännerung, sou datt souwuel den Zoustand virdrun wéi och duerno festgehalen ass.

Verifizéiert duerno mat richtegem Trafic: eng erfollegräich Applikatiouns-Ufro vun der Filial an een feelgeschloenen SSH-Versuch op d'ASA. Packet-tracer modelléiert de Wee; e liewegen Floss beweist, datt de Modell gepasst huet.

Setzt d'Ännerung zréck, déi et zum Lafen bruecht huet

Wann d'Léisung war, d'ACL-Ëmgoen auszeschalten oder e Filter ze verbreeden, behält déi vireg Konfiguratioun. Eng show run-Opnam vun de betraffenen Objeten, virun der Ännerung gespäichert, ass genuch, fir se ze restauréieren; d'ASA-Konfiguratioun ass linnenorientéiert, dofir heescht zrécksetzen déi al Linnen nei anzeginn, net eng Datei ze restauréieren.

Halt d'Interface-Puer, de wirksamen Filter, den ACL-Numm aus packet-tracer an déi genee Kommanden, déi Dir geännert hutt, fest. Dës Opzeechnung mécht déi nächst Iwwerpréiwung zu enger fënnef-Minutte-Kontroll amplaz enger anerer Debatt iwwer Vertrauensniveauen.

Ähnlech Artikelen