Ar VPN potinklis paveldi ASA sąsajos saugumo lygį?

Iššifruotas VPN potinklis niekada nepaveldi sąsajos saugumo lygio. Atskirai patikrinkite sysopt connection permit-vpn, grupės filtrą ir valdymo prieigą.

Kažkas klausia, ar filialo VPN potinklis ASA turi „saugumo lygį 0 arba 100“, o klausime jau yra klaida. Saugumo lygis yra vietinės sąsajos savybė, sąsajos konfigūracijoje priskiriama nuo 0 iki 100. Nuotolinis potinklis, atvykstantis per tunelį, jo neįgyja, kad ir kaip būtų parašytas crypto map. Todėl klausimas neturi skaitmeninio atsakymo.

Praktinis tolesnis klausimas geresnis: kuri politika įleidžia filialą prie serverio, o kuri laiko jį toliau nuo paties užkardos. Tai du atsakymai, o toliau pateikta procedūra juos atskiria.

Saugumo lygiai priklauso sąsajoms

Paleiskite show running-config interface ir pamatysite security-level po kiekviena fizine arba VLAN sąsaja, ne po tunelio grupe ar crypto map. Numatytasis leidimas iš aukštesnio į žemesnį vertinamas tarp tų sąsajų, todėl skaičius keičia patikros ir numanomos ACL elgseną tame kelyje, kuriam priklauso.

Iššifruotam VPN srautui įėjimas vis dar yra outside sąsaja, kur baigiasi tunelis, o išėjimas – inside sąsaja link serverio. Užsirašykite abi, prieš ką nors liesdami. Šis vienas žingsnis pašalina didžiąją dalį painiavos, nes abstraktų pasitikėjimo klausimą paverčia sąsajų pora.

ACL apėjimas turi įvardytą ribą

sysopt connection permit-vpn yra nustatymas, kurį žmonės pusiau prisimena sakydami, kad VPN srautas nepaiso ACL. Jis tikrai praleidžia sąsajos ACL srautui, kuris kvalifikuojamas kaip VPN srautas, o 9.x parametrų vadovas jį riboja pagal sąsają ir kryptį, o ne skelbia visuotinę išimtį.

Patikrinkite, kas sukonfigūruota, prieš samprotaudami iš atminties:

  • show running-config all sysopt norėdami pamatyti faktinę vertę, o ne tik ne numatytąsias eilutes.
  • show running-config access-group norėdami pamatyti, kuri ACL taikoma kuriai sąsajai ir krypčiai.
  • show vpn-sessiondb detail l2l norėdami patvirtinti, kurią tunelio grupę ir filtrą sesija iš tikrųjų naudoja.

Šio nustatymo išjungimas siekiant sugriežtinti VPN prieigą yra didelio poveikio pakeitimas. Jis vėl pajungia kiekvieną kvalifikuotą VPN srautą išorinei ACL, o tai paprastai sugadina veikiančius tunelius būdais, nesusijusiais su filialu, apie kurį jūsų klausė.

Perskaitykite prie sesijos prijungtą filtrą

Tikroji kiekvieno tunelio kontrolė yra VPN filtras: ACL, į kurią nurodo grupės politika arba vartotojo vardas, taikoma po iššifravimo ir prieš šifravimą. Vartotojo lygio filtras pakeičia grupės lygio vertę, todėl du tos pačios tunelio grupės žmonės gali turėti skirtingą faktinę prieigą.

Patvirtinkite prioritetą, o ne darykite prielaidą. show running-config group-policy <name> rodo grupės vertę, o show running-config username <name> rodo, ar yra vartotojo vertė. Jei yra abi, laimi vartotojo vertė. Tada palyginkite tos ACL įrašus su jus dominančiu srautu ta kryptimi, kuria vertina filtras.

Filtras, leidžiantis programos serverį, nieko nepasako apie valdymą. Tai atskiros taisyklės atskirame kelyje.

Patikrinkite vieną leidimą ir vieną atmetimą

Packet-tracer yra greičiausias būdas pamatyti sprendimą nelaukiant, kol vartotojas jį praneš. Duokite jam iššifruotos pusės srautą ir leiskite įvardyti ACL, NAT ir patikros etapus, kuriuos jis praeina.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Perskaitykite rezultato eilutę: joje įvardyta ACL, kuri leido arba numetė paketą.
  3. Pakartokite su administraciniu tikslu inside sąsajoje ir patvirtinkite atmetimą.
  4. Pakartokite dar kartą po kiekvieno pakeitimo, kad būtų užfiksuota ir ankstesnė, ir vėlesnė būsena.

Tada patikrinkite realiu srautu: vieną sėkmingą programos užklausą iš filialo ir vieną nesėkmingą SSH bandymą į ASA. Packet-tracer modeliuoja kelią; gyvas srautas įrodo, kad modelis atitiko.

Atšaukite pakeitimą, kuris privertė tai veikti

Jei pataisa buvo ACL apėjimo išjungimas arba filtro išplėtimas, išsaugokite ankstesnę konfigūraciją. Prieš pakeitimą išsaugotas paveiktų objektų show run įrašas yra pakankamas jiems atkurti; ASA konfigūracija yra eilučių orientuota, todėl atšaukimas reiškia senų eilučių įvedimą iš naujo, o ne failo atkūrimą.

Užrašykite sąsajų porą, veikiantį filtrą, ACL pavadinimą iš packet-tracer ir tikslius pakeistus komandas. Šis įrašas paverčia kitą peržiūrą penkių minučių patikra, o ne dar vienu ginču apie pasitikėjimo lygius.

Susiję straipsniai