Kāpēc ASA TACACS+ pieprasījumi apiet filiāles VPN tuneli

Filiāles tunelis darbojas, lietotāji autentificējas attālinātajā TACACS+ serverī, un paša ugunsmūra pieteikšanās joprojām beidzas ar taimautu. Iemesls nav tunela kļūda: LAN-to-LAN tunelis pārvada datplūsmu, kas atbilst tā selektoriem, un pārvaldības datplūsma, ko ASA ģenerē par sevi, ir atsevišķa plūsma ar savu avota adresi. Lielākā daļa komandu to atklāj izmaiņu loga laikā, kad vienīgais administratora konts ir tas, kas neizdodas. Uztveriet ASA uzsākto AAA sesiju kā plūsmu, kas jums jāprojektē, nevis kā jau strādājoša savienojuma blakusefektu.

ASA ir klients, un tā paša datplūsmai vajag savu ceļu

Kad ugunsmūris sazinās ar TACACS+ serveri, ugunsmūris ir klients kā jebkurš cits, tikai neviens tam apzināti nav konfigurējis maršrutu. Tā paketes nāk no ierīces saskarnes adreses, tās tiek ģenerētas lokāli, nevis pārsūtītas, un tās ir jāmaršrutē, jāpārveido un jāaizsargā ar politiku tāpat kā lietotāju datplūsma. Vietnes-uz-vietni tunelis, kas aizsargā lietotāju apakštīklu, automātiski neaizsargā šo pārvaldības avotu, jo datplūsmas izvēle balstās uz adresēm, nevis nodomu.

Pierakstiet adresi, ko, jūsuprāt, serveris redzēs. Ja nevarat to pateikt vienā rindā, jums vēl nav projekta.

Saskarne aaa-server rindā nav rotājums

ASA aaa-server resursdatora ieraksts pieņem saskarnes piesaisti iekavās, un Cisco AAA resursdatora komandu uzziņa to apraksta kā saskarni, kur atrodas autentifikācijas serveris. Tieši šī piesaiste saista pieprasījumu ar saskarni un ar politiku, ko šī saskarne piemēro. Izvēloties to pēc jebkuras saskarnes, kas vērsta uz internetu, vai atstājot to, kas palicis no pēdējās migrācijas, tiek iegūta avota adrese, kam attālinātais serveris un tunelis nekad nav būvēti.

inside ir pareizā atbilde tikai tad, ja nosauktajai saskarnei ir adrese, ko jūsu projekts paredzējis izmantot kā avotu. Filiāles ierīcē tas bieži tā ir; ierīcē ar vairākiem privātiem segmentiem var arī nebūt.

Piesaistes maiņa nozīmē ieraksta atjaunošanu

Tā pati komandu uzziņa dokumentē rediģēšanas ierobežojumu, kas pāreju laikā aizķer cilvēkus: esoša resursdatora saskarnes maiņa prasa ierakstu noņemt un izveidot no jauna. Konfigurācija, kas izskatās rediģēta, var nebūt stājusies spēkā, un nākamais pieteikšanās mēģinājums joprojām izies no vecās adreses. Plānojiet to kā dzēšanu un pievienošanu ar oriģinālā ieraksta kopiju priekšā, nevis kā labojumu uz vietas.

Ja ir definēti vairāki serveri, nomainiet vienu un pārbaudiet to pirms pārējo aiztikšanas, lai kļūda nebloķētu visus administratīvos ceļus uzreiz.

Pārbaudiet selektorus, tulkošanu un atgriešanās ceļu kopā

Trim lietām jāsakrīt, lai pieprasījums nonāktu. Tunela datplūsmas selektoriem, vai tunela saskarnes aizsardzībai, ja tādu lietojat, jāietver pašas ASA avots un servera adrese; lietotāju apakštīkliem veidots selektoru saraksts to parasti nedarīs. Jebkuram NAT noteikumam ceļā šis avots ir konsekventi jātulko, jo serveris autorizē tīkla ierīces identitāti, kas ietver adresi, ko tas redz. Un atgriešanās ceļam jābūt, kas politikā balstītā tunelī nozīmē, ka tālajā galā ir atbilstošs selektors pretējā virzienā.

Servera pusē atsevišķi apstipriniet ierīces identitāti, koplietoto noslēpumu un administratīvo politiku. TACACS+ autentifikāciju, autorizāciju un uzskaiti uztur kā atsevišķas operācijas, tāpēc atteikums, kas pienāk pēc pabeigtas apmaiņas, ir politikas atbilde, nevis transporta kļūme. Ja lasīsiet to kā tīkla problēmu, meklēsiet nepareizajā vietā.

Atkļūdošanas laikā turiet noslēpumu ārpus pakešu ierakstiem, biļetēm un transkriptiem, un atcerieties, ka avota adrese, ko serveris reģistrē, ir tā, kas jūsu projektam jāizskaidro.

Veiciet izmaiņas, neaizslēdzot sevi

Mainot attālināto administratīvo autentifikāciju, izmantojiet konsoli vai neatkarīgu pārvaldības ceļu, un turiet apstiprinātu vietējo rezerves variantu, līdz jaunais ceļš ir pārvedis īstu pieteikšanos. Tad validējiet šauri: viens serveris, viena ierīce, viena veiksmīga autentifikācija ar avota adresi, kas novērota abos galos.

Pierakstiet plūsmu tās pašas lapā: izcelsmes saskarne un adrese, attālinātais serveris, aizsargātais ceļš un persona, kurai pieder autorizācijas politika. Tad vēlāku saskarnes vai tuneļa izmaiņu var novērtēt, nenojaušot, kuru no divām plūsmām tā ietekmē.