Firwat en ASA-Fernbenotzer d'Subnetz erreecht, awer net d'Applikatioun
Route beweisen, datt den Tunnel funktionéiert, net datt de Benotzer d'Applikatioun dierf opmaachen. Liest de Filter, deen d'Sessioun krut, a testt dann eng erlaabte an eng verworf Verbindung.
Äre Benotzer verbënnt sech, kritt eng Adress, pingt e Server an der Subnetz vun der Applikatioun a kann den Déngscht drop trotzdeem net opmaachen. Dës Kombinatioun ass normal op enger ASA, well en erfollegräichen Tunnel an eng brauchbar Erlaabnis vu verschiddenen Astellungen entscheet ginn. D'Lëscht vum gedeelten Tunnel huet gewielt, wéi eng Destinatiounen an den Tunnel koumen; e VPN-Filter an d'eegen Zougangsregelen vun der Destinatioun entscheeden, wat déi entschlësselt Ufro erreeche kann. Gitt déi dräi Entscheedungen der Rei no duerch, amplaz d'Routelëscht ze verbreeden, bis sech eppes ännert.
Dräi Entscheedungen, déi liicht ze verwiesselen sinn
D'Zouloossung äntwert, ob de Benotzer den Tunnel iwwerhaapt opbauen dierf: Umeldungsdaten, Zertifikaat an eege zweete Faktor. D'Routewiel äntwert, wéi eng Destinatiounen de Client an deen Tunnel schéckt. D'Autorisatioun äntwert, ob déi entschlësselt Ufro den Déngscht erreeche kann. Nëmmen déi drëtt bréngt de Feeler, deen de Benotzer mëttelt.
E séiere Wee fir se z'ënnerscheeden ass ze froen, wat eng Ännerung géif brooch maachen. Eng Route vun der gedeelter Lëscht ewechhuelen hält den Trafik zu där Subnetz op, ouni eppes ze gewähren; en ACE zum VPN-Filter dobäisetzen gewährt eng Destinatioun, ouni ze änneren, wat de Client tunnelt.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Liest de Filter, deen d'Sessioun tatsächlech krut
Fänkt bei der lieweger Sessioun un an net bei der Konfiguratioun, déi Dir mengt, déi gëllt. show vpn-sessiondb detail anyconnect dréckt déi zougewisen Gruppepolitik an den Numm vum Filter aus, deen un déi Sessioun gebonnen ass. Wann d'Feld eidel ass, ënnerstëtzt kee Filter eppes an de Block kënnt vun aneschtwou.
Dann liest d'Politik, déi de Wäert besëtzt, inklusiv d'Standardwäerter, well e Filter kann ierflech sinn, amplaz do geschriwwen ze sinn, wou Dir kuckt:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Vergläicht den Numme vum Filter op der Sessioun mat der ACL, déi Dir just editéiert hutt. Eng ACL mat engem ähnlechen Numm, déi de Benotzer ni krut, kann d'Ressourcepolitik vun där Sessioun net änneren, an dat ass dee heefegste Grond, firwat eng richteg ausgesinn Ännerung keng Wierkung huet.
D'Prioritéit erkläert de Rescht. Fir d'Filterastellung iwwerwieft en DAP-Andrag d'Attributer vum Benotzernumm, an d'Attributer vum Benotzernumm iwwerwiegen d'Gruppepolitik. Wann eng Sessioun en Filter weist, deen Dir net erwaart hutt, sicht eng DAP-Politik, déi zu deem Benotzer passt, ier Dir d'Grupp ufässt.
D'gedeelten Lëscht an de Filter si getrennte Felder
Op ASA 9.x hält d'Gruppepolitik split-tunnel-network-list an vpn-filter als verschidden Astellungen, an de Gruppepolitik-Guide 9.22 dokumentéiert se just dowéinst getrennt. D'Netzwierklëscht ass en Routinghiweis fir de Client; de Filter ass eng Zougangskontrolllëscht, déi op entschlësselten Trafik ugewannt gëtt.
Dës Ënnerscheedung ass wichteg, wann e Benotzer een eenzegen HTTPS-Déngscht an enger Subnetz brauch. Setzt d'Subnetz an d'gedeelte Lëscht, sou datt d'Pakete an den Tunnel kommen, an erlaabt dann nëmmen deen Déngscht am Filter. D'Routelëscht ze verbreeden autoriséiert näischt, a se ze verklengeren ass kee Mëttel fir duerchzesetzen.
Prüft, ob eng Interface-ACL iwwerhaapt am Wee ass
Entschlësselten Fernzougangstraffik geet net ëmmer duerch d'ACL vum baussenzege Interface, wéi d'Leit ugeholl hunn. Wou sysopt connection permit-vpn aktivéiert ass, applizéiert d'ASA hir dokumentéiert VPN-Ëmgoe fir deen Trafik, wärend anwendbar VPN-Filter duerno nach gëllen. Prüft d'Astellung mam show run all sysopt amplaz aus dem Topologieschema ze schléissen.
Wéi och ëmmer, d'Firewall vum Destinatiounshost a seng Autorisatioun vun der Applikatioun bleiwen am Wee. Eng ASA-Reeg, déi TCP 443 erlaabt, mécht net, datt d'Applikatioun de Benotzer akzeptéiert.
Akzeptéiert d'Ännerung och mat enger verworfener Verbindung
En erlaabten Test eleng beweist ganz wéineg, well en funktionéierenden Tunnel déiselwecht éischt Paket produzéiert, egal ob en Filter existéiert oder net. Maacht den ugedaachten Déngscht vum Client op, versicht dann eng Destinatioun, déi zou bleiwe soll, a bestätegt, datt se aus dem richtege Grond feelt.
Notéiert véier Fakten, wann Dir den Ticket zoumaacht: d'ugeholl Identitéit, d'Politik an de Filter, déi d'Sessioun tatsächlech krut, d'Destinatiounen an der gedeelter Lëscht an d'Ressource, déi de Benotzer erreeche konnt. Déi véier erklären, wou den Trafik kontrolléiert gëtt, ouni eng Routelëscht an eng Firewall ze verwandelen.
Wann den Déngscht nach ëmmer verwierft, nodeems de Filter en erlaabt huet, gitt op den Host: Lauschteradress, Host-Firewall an d'eegen Benotzerzouuerdnung vun der Applikatioun. Den Tunnel huet zu deem Zäitpunkt seng Aarbecht gemaach, a weider ASA-Ännerunge füügen nëmme Risiko dobäi.