Kurš ASA noteikums redz datu plūsmu pēc tam, kad VPN to atšifrē

Pirmais pieņēmums, no kā jāatsakās, ir tas, ka kripto ACL ir piekļuves politika. Tas tā nav. Cisco ASA šis saraksts atbild uz vienu šauru jautājumu: kuri paketes ir pelnījušas aizsardzību, un šī atbilde neko nepasaka par to, vai atšifrētā pakete var sasniegt serveri aiz ugunsmūra. Piekļuve tiek izlemta vēlāk – ar saskarnes politiku, ar grupas politikas filtru vai ar abiem, atkarībā no tā, kā tunelis tika uzbūvēts.

Kripto ACL atbild uz citu jautājumu

Kripto ACL ir atbilstības saraksts. Tas tuneļa ziņā nosaka, ko šifrēt starp divām pusēm; pakete, kas tam neatbilst, vienkārši nav aizsargāta. Tā paplašināšana maina aizsardzības apjomu un neko citu.

Tāpēc apakštīkla pievienošana tur var pacelt tuneli, kamēr pati lietotne joprojām nedarbojas. Tunelis ir augšā, jo tagad pastāv atbilstība. Lietotne joprojām nedarbojas, jo nekas šajā sarakstā neko neatļauj. Divi dažādi jautājumi, divi dažādi saraksti.

Ko apiešanas iestatījums patiešām izlaiž

sysopt connection permit-vpn ļauj aizsargātajai plūsmai izlaist saskarnes ACL pārbaudi, kas citādi būtu piemērojama ienākošajā pusē. Tas ir ērtība VPN ieviešanām, un tas ir globāls. Tas neaizskar grupas politiku un neaizskar lietotāja autorizācijas filtru.

Lasiet faktisko vērtību, nevis pieņēmumu: show running-config all sysopt izdrukā iestatījumu arī tad, ja tas nekad nav ticis skaidri konfigurēts, un tieši tur sākas daudz neskaidrību.

Tā kā iestatījums ir globāls, tā pārbaudīšana kā ātrs eksperiments vienā bojātā apakštīklā ir slikts darījums. Ikviens cits tunelis šajā ugunsmūrī dala rezultātu. Saglabājiet to apzinātai izmaiņai ar atritināšanas plānu.

Lasiet filtru atšifrēšanas virzienā

LAN-to-LAN vpn-filter tiek rakstīts no tuneļa, nevis saskarnes skatpunkta. Attālais tīkls nonāk avota pozīcijā un vietējais tīkls galamērķa pozīcijā, jo tā pakete izskatās pēc atšifrēšanas. Pēc tam tas pats filtrs pirms šifrēšanas vēlreiz tiek novērtēts pretējā virzienā, ar apgrieztām adrešu lomām.

Porta nosacījumi ir pelnījuši lielāku rūpību nekā nokopēts saskarnes ACL tieši šī iemesla dēļ. Noteikums, kas atļauj vienu galamērķa portu, pretējā virzienā var radīt nevēlamu efektu, kur jauns savienojums izmanto šo portu kā savu avotu. Pirms saraksta veidošanas pierakstiet, kura puse drīkst uzsākt, kāds ir faktiskais pakalpojums un kurai pretējai pusei jāpaliek slēgtai.

Apstipriniet, kurš filtrs patiešām ir pievienots: show running-config group-policy un show vpn-sessiondb detail l2l kopā parāda, ko sesija ir mantojusi. ACL, uz kuru neatsaucas neviena politika, rediģēšana neko nemaina.

Neizmantojiet vienu ACL objektu diviem darbiem

Saskarnes access-group un vpn-filter izskatās kā viena tipa objekts un tiek novērtēti dažādos punktos ar atšķirīgu adrešu orientāciju. Viena saraksta piešķiršana abiem aicina uz izmaiņām, kas salabo tuneli un klusi atslābina fizisko saskarni.

Turiet tos atsevišķi, nosauciet tos pēc to darba un ļaujiet virziena atšķirībai būt redzamai nosaukumos.

Pārbaudiet ar jauniem savienojumiem, abos virzienos

Pēc plānotām izmaiņām atveriet vienu jaunu savienojumu, kam jābūt atļautam, un vienu jaunu savienojumu, kam jābūt liegtam, pēc tam pierakstiet adreses, virzienu un politikas atbilstību kopā ar rezultātu. Izveidota sesija neko nepierāda par jaunu savienojumu filtrēšanu, jo tā jau tika ielaista pēc vecajiem noteikumiem.

Ņemiet vērā arī inspekciju. Ražotāja dokumentācija norāda, ka VPN filtrs pārbauda sākotnējo savienojumu, nevis katru sekundāro savienojumu, ko atver inspekcijas dzinējs, tāpēc vadības kanāls un ar to saistītā mediju plūsma var saņemt atšķirīgu apstrādi. Ja lietotne pārzina protokolu, pārbaudiet faktisko plūsmu, nevis vienu porta zondi.

Tunelis, kas pēc plašas apiešanas kļūst lietojams, pasaka, ka ierobežojums tika noņemts, nevis ka tas tika izpildīts. Rezultāts, ko ir vērts saglabāt, ir nosaukts izpildes punkts, uz kuru varat norādīt nākamajā pārskatā.