Kodėl ASA TACACS+ užklausos aplenkia filialo VPN tunelį

Filialo tunelis veikia, vartotojai autentifikuojasi nuotoliniame TACACS+ serveryje, o paties ugniasienės prisijungimas vis dar baigiasi skirtuoju laiku. Priežastis ne tunelio klaida: LAN-to-LAN tunelis perduoda srautą, kuris atitinka jo selektorius, o valdymo srautas, kurį ASA generuoja apie save, yra atskiras srautas su savo šaltinio adresu. Dauguma komandų tai aptinka keitimo lange, kai vienintelė administratoriaus paskyra yra ta, kuri nepavyksta. Traktuokite ASA inicijuotą AAA sesiją kaip srautą, kurį turite suprojektuoti, o ne kaip jau veikiančio ryšio šalutinį poveikį.

ASA yra klientas, o jo pačio srautui reikia savo kelio

Kai ugniasienė susisiekia su TACACS+ serveriu, ji yra klientas kaip ir bet kuris kitas, tik niekas sąmoningai nesukonfigūravo jai maršruto. Jos paketai kyla iš įrenginio sąsajos adreso, jie generuojami vietoje, o ne persiunčiami, ir juos reikia maršrutizuoti, versti ir saugoti politika lygiai taip pat kaip vartotojų srautą. Svetainės į svetainę tunelis, saugantis vartotojų potinklį, automatiškai neapsaugo to valdymo šaltinio, nes srauto pasirinkimas grindžiamas adresais, o ne ketinimais.

Užsirašykite adresą, kurį, tikimasi, pamatys serveris. Jei negalite jo pasakyti viena eilute, dar neturite projekto.

Sąsaja aaa-server eilutėje nėra puošmena

ASA aaa-server pagrindinio kompiuterio įrašas priima sąsajos priskyrimą skliausteliuose, o Cisco AAA pagrindinio kompiuterio komandų žinynas apibūdina jį kaip sąsają, kurioje yra autentifikavimo serveris. Būtent šis priskyrimas susieja užklausą su sąsaja ir su politika, kurią ta sąsaja taiko. Pasirinkus jį pagal bet kurią į internetą nukreiptą sąsają arba palikus tai, kas liko po paskutinės migracijos, gaunamas šaltinio adresas, kuriam nuotolinis serveris ir tunelis niekada nebuvo sukurti.

inside yra teisingas atsakymas tik tada, kai nurodytoji sąsaja turi adresą, kurį jūsų projektas ketina naudoti kaip šaltinį. Filialo įrenginyje taip dažnai būna; įrenginyje su keliais privačiais segmentais gali ir nebūti.

Priskyrimo keitimas reiškia įrašo atkūrimą

Tas pats komandų žinynas dokumentuoja redagavimo apribojimą, kuris sugauna žmones perėjimų metu: pakeisti esamo pagrindinio kompiuterio sąsają reikia įrašą pašalinti ir sukurti iš naujo. Konfigūracija, kuri atrodo redaguota, gali būti neįsigaliojusi, o kitas prisijungimo bandymas vis tiek išeis iš seno adreso. Planuokite tai kaip trynimą ir pridėjimą su originalaus įrašo kopija prieš akis, o ne kaip pataisymą vietoje.

Jei apibrėžti keli serveriai, pakeiskite vieną ir išbandykite jį prieš liesdami kitus, kad klaida neužrakintų visų administravimo kelių vienu metu.

Tikrinkite selektorius, vertimą ir grįžimo kelią kartu

Trys dalykai turi sutapti, kad užklausa patektų. Tunelio srauto selektoriai, arba tunelio sąsajos apsauga, jei ją naudojate, turi apimti pačios ASA šaltinį ir serverio adresą; vartotojų potinkliams sukurtas selektorių sąrašas paprastai to nepadarys. Bet kuri NAT taisyklė kelyje turi nuosekliai versti tą šaltinį, nes serveris autorizuoja tinklo įrenginio tapatybę, kuri apima adresą, kurį jis mato. Ir grįžimo kelias turi egzistuoti, o politika pagrįstame tunele tai reiškia, kad tolimajame gale yra atitinkantis selektorius priešinga kryptimi.

Serverio pusėje atskirai patvirtinkite įrenginio tapatybę, bendrą paslaptį ir administravimo politiką. TACACS+ palaiko autentifikavimą, autorizavimą ir apskaitą kaip atskiras operacijas, todėl atmetimas, ateinantis po užbaigto mainų, yra politikos atsakymas, o ne transporto gedimas. Jei skaitysite jį kaip tinklo problemą, ieškosite ne toje vietoje.

Derindami laikykite paslaptį atokiau nuo paketų įrašų, bilietų ir transkriptų, ir atminkite, kad šaltinio adresas, kurį serveris registruoja, yra tas, kurį jūsų projektas turi paaiškinti.

Atlikite pakeitimą neužsiribodami

Keisdami nuotolinį administravimo autentifikavimą naudokite konsolę arba nepriklausomą valdymo kelią, ir laikykite patvirtintą vietinę atsarginę priemonę, kol naujasis kelias perduos tikrą prisijungimą. Tada patikrinkite siaurai: vienas serveris, vienas įrenginys, vienas sėkmingas autentifikavimas, kai šaltinio adresas stebimas abiejuose galuose.

Užrašykite srautą atskirame puslapyje: kilmės sąsaja ir adresas, nuotolinis serveris, saugomas kelias ir asmuo, kuriam priklauso autorizavimo politika. Tada vėlesnį sąsajos ar tunelio pakeitimą bus galima įvertinti neatspėjant, kurį iš dviejų srautų jis paliečia.