VPN starp vietnēm darbojas, bet ASA žurnāli nenāk: pārbaudiet avota adresi

Iekšējie resursdatori sasniedz attālo savācēju, un to syslog rindas parādās. Pašas ASA ziņas par tām pašām sesijām nekad nenāk. Ne savācējam, ne tunelim nav problēmu, un tieši tas mulsina. Ugunsmūris sūta savus žurnālus no avota, kura aizsardzībai tunelis nekad netika būvēts.

Kas pienāk un kas ne

Sāciet, atdalot divas plūsmas, kas panelī izskatās identiskas. Pārsūtītais trafiks iet caur ASA: LAN resursdators sūta savācējam, ASA to salīdzina ar tuneļa politiku, šifrē, un savācējs redz resursdatora adresi. Ģenerētais trafiks sākas pašā ASA: ierīce veido syslog paketi, izvēlas izejas saskarni un avotu un tikai pēc tam jautā, vai atbilst kāda tuneļa politika. Pirmā plūsma pierāda, ka tunelis darbojas, un par otro neko nesaka.

Ierīcē buferēts notikums arī nav attālas piegādes pierādījums, jo žurnāls var pastāvēt lokāli un nekad nav nosūtīts. Pirms vainot tuneli pārbaudiet savācēja uztveršanas skaitītājus, jo tukšs skaitītājs ir cits atradums nekā augošs.

Ģenerētā ziņa nav pārsūtītais trafiks

Kad ASA pati ģenerē paketi, tā nav LAN resursdatora starpnieks. Avots nāk no izejas saskarnes vai no skaidra avota iestatījuma, un pakete nonāk tajā pašā maršruta meklēšanā un tajās pašās politikas pārbaudēs kā viss pārējais, ko ierīce sūta. Tas nozīmē, ka VPN selektoram jāiekļauj adrese, kuru ASA faktiski izmanto, un tā bieži ir tās ārējā saskarne, nevis iekšējs apakštīkls.

Ja politika aizsargā 10.20.0.0/24 un ASA kā avotu izmanto savu ārējo adresi, žurnāla pakete vai nu iziet atklātā tekstā pretī savācējam, kuru tā nevar sasniegt, vai tiek izmesta. Abi iznākumi no savācēja puses izskatās vienādi. Tā pati loģika attiecas uz pārvaldības trafiku, tāpēc management-access ir atsevišķs projektēšanas lēmums.

Kādu avotu ASA liek tīklā

Atrodiet avotu empīriski, nevis pieņēmuma ceļā. Uzņemšana izejas saskarnē testa ziņas laikā parāda faktisko avotu un galamērķi, un tā prasa mazāk laika nekā trīs konfigurācijas sadaļu lasīšana. Salīdziniet šo adresi ar tuneļa lokālo selektoru.

Dažas versijas ļauj piesaistīt žurnāla avotu saskarnei, un jūsu versijas komandu uzziņa ir autoritāte par to, vai šī opcija pastāv un ko tā maina. Citai Cisco platformai paredzēta source-interface komanda ASA nav automātiski derīga.

Ja avotu mainīsiet, dariet to apzināti un pierakstiet, jo savācēja ACL un jebkura uz syslog balstīta korelācija ir atkarīga no tā.

Saskaņojiet selektoru ar žurnāla plūsmu

Kad avots ir zināms, pārbaudiet trīs lietas pēc kārtas: kripto ACL vai uz politiku balstītu selektoru, kas izlemj, kurš trafiks ir interesants, maršrutu, kas izlemj, kur pakete dodas, un jebkuru NAT noteikumu, kas var pārrakstīt avotu pirms šifrēšanas. Pakete, kas atbilst maršrutam, bet ne selektoram, netiek tunelēta, un NAT pārrakstīta pakete var neatbilst nevienam.

Savācēja pusei ir savas prasības: ACL, kas atļauj ASA avotu, atgriešanās maršruts un klausīšanās pakalpojums jūsu konfigurētajā portā. Pārsūtīšana šeit arī ir svarīga, jo TCP un TLS žurnālēšana uz daļēji bloķēta ceļa uzvedas citādi nekā UDP. Mainiet vienu elementu vienlaikus, citādi nākamā uzņemšana nepateiks, kura izmaiņa bija svarīga.

Pārbaudiet savācējā, pēc tam pierakstiet avotu

Apstipriniet, ka ziņa pienāk, pēc tam pierakstiet avota adresi, ko ASA izmantoja, selektoru, kas to nesa, un smagumu, ar kuru testējāt.

Šis ieraksts nākamo savācēja ACL izmaiņu vai selektora rediģēšanu pārvērš divu minūšu pārbaudē, nevis atkārtotā atklāšanā. Tas arī dokumentē, kura no divām plūsmām jebkad tika validēta, un tieši šo daļu lielākā daļa rokasgrāmatu izlaiž. Ja ziņa joprojām nenāk, īslaicīgi pazeminiet smaguma slieksni un testējiet pret vienu galamērķi.

Cisco ASA žurnālēšanas BUJ dokumentē gadījumu ar ārēju avotu, kam nepieciešama atbilstošā aizsargātā trafika definīcija, un tā piemērs ar iekšēju avotu ietver gan žurnālu resursdatoru iekšpusē, gan management-access iekšpusē. Aplūkojiet dokumentēto kombināciju un programmatūras kontekstu kopā, nevis pieņemiet, ka viena nokopēta rinda der katrai konfigurācijai.

Tunelis, kas pārvadā LAN trafiku, nav tunelis, kas pārvadā paša ugunsmūra balsi.