Vai VPN apakštīkls manto ASA saskarnes drošības līmeni?

Atšifrēts VPN apakštīkls nekad nemanto saskarnes drošības līmeni. Atsevišķi pārbaudiet sysopt connection permit-vpn, grupas filtru un pārvaldības piekļuvi.

Kāds jautā, vai filiāles VPN apakštīklam ASA ir „drošības līmenis 0 vai 100“, un jautājumā jau ir kļūda. Drošības līmenis ir vietējas saskarnes īpašība, kas saskarnes konfigurācijā tiek piešķirta no 0 līdz 100. Attāls apakštīkls, kas ierodas pa tuneli, to neiegūst, lai kā būtu uzrakstīts crypto map. Tāpēc jautājumam nav skaitliskas atbildes.

Praktiskais nākamais jautājums ir labāks: kura politika ielaiž filiāli pie servera un kura to tur tālāk no paša ugunsmūra. Tās ir divas atbildes, un tālāk aprakstītā procedūra tās atdala.

Drošības līmeņi pieder saskarnēm

Palaidiet show running-config interface un redzēsiet security-level zem katras fiziskās saskarnes vai VLAN saskarnes, nevis zem tuneļa grupas vai crypto map. Noklusējuma atļauja no augstāka uz zemāku tiek novērtēta starp šīm saskarnēm, tāpēc skaitlis maina pārbaudes un netiešās ACL uzvedību ceļā, kuram tas pieder.

Atšifrētai VPN plūsmai ieeja joprojām ir outside saskarne, kur beidzas tunelis, un izeja ir inside saskarne uz serveri. Pierakstiet abas, pirms kaut kam pieskaraties. Šis viens solis novērš lielāko daļu apjukuma, jo abstraktu uzticēšanās jautājumu pārvērš saskarņu pārī.

ACL apiešanai ir nosaukta robeža

sysopt connection permit-vpn ir iestatījums, ko cilvēki puslīdz atceras, kad saka, ka VPN trafiks ignorē ACL. Tas patiešām izlaiž saskarnes ACL trafikam, kas kvalificējas kā VPN trafiks, un 9.x parametru rokasgrāmata to ierobežo pēc saskarnes un virziena, nevis pasludina globālu izņēmumu.

Pārbaudiet, kas ir konfigurēts, pirms spriežat no atmiņas:

  • show running-config all sysopt lai redzētu faktisko vērtību, ne tikai rindas, kas nav noklusējuma.
  • show running-config access-group lai redzētu, kura ACL ir piemērota kurai saskarnei un virzienam.
  • show vpn-sessiondb detail l2l lai apstiprinātu, kuru tuneļa grupu un filtru sesija faktiski izmanto.

Šī iestatījuma izslēgšana, lai pastiprinātu VPN piekļuvi, ir izmaiņa ar lielu ietekmi. Tas atkal pakļauj katru kvalificēto VPN plūsmu ārējai ACL, kas parasti salauž strādājošus tuneļus veidos, kas nav saistīti ar filiāli, par kuru jums jautāja.

Izlasiet sesijai pievienoto filtru

Īstā kontrole katram tunelim ir VPN filtrs: ACL, uz kuru atsaucas grupas politika vai lietotājvārds, tiek piemērota pēc atšifrēšanas un pirms šifrēšanas. Lietotāja līmeņa filtrs aizstāj grupas līmeņa vērtību, tāpēc diviem vienas tuneļa grupas cilvēkiem var būt atšķirīga faktiskā piekļuve.

Apstipriniet prioritāti, nevis pieņemiet to. show running-config group-policy <name> parāda grupas vērtību, un show running-config username <name> parāda, vai pastāv lietotāja vērtība. Ja pastāv abas, uzvar lietotāja vērtība. Pēc tam salīdziniet tās ACL ierakstus ar plūsmu, kas jūs interesē, virzienā, kādā filtrs novērtē.

Filtrs, kas atļauj lietojumprogrammas serveri, neko nepasaka par pārvaldību. Tie ir atsevišķi noteikumi atsevišķā ceļā.

Pārbaudiet vienu atļauju un vienu atteikumu

Packet-tracer ir ātrākais veids, kā redzēt lēmumu, negaidot, kamēr lietotājs to ziņo. Dodiet tam atšifrētās puses plūsmu un ļaujiet tam nosaukt ACL, NAT un pārbaudes posmus, caur kuriem tā iet.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Izlasiet rezultāta rindu: tajā nosaukta ACL, kas atļāva vai nometa paketi.
  3. Atkārtojiet ar administratīvo galamērķi inside saskarnē un apstipriniet atteikumu.
  4. Atkārtojiet vēlreiz pēc katras izmaiņas, lai būtu fiksēts gan iepriekšējais, gan nākamais stāvoklis.

Pēc tam pārbaudiet ar reālu trafiku: vienu veiksmīgu lietojumprogrammas pieprasījumu no filiāles un vienu neveiksmīgu SSH mēģinājumu uz ASA. Packet-tracer modelē ceļu; dzīva plūsma pierāda, ka modelis atbilda.

Atceliet izmaiņas, kas lika tam darboties

Ja labojums bija ACL apiešanas izslēgšana vai filtra paplašināšana, saglabājiet iepriekšējo konfigurāciju. Pirms izmaiņām saglabāts skarto objektu show run ieraksts ir pietiekams, lai tos atjaunotu; ASA konfigurācija ir uz rindām orientēta, tāpēc atcelšana nozīmē veco rindu atkārtotu ievadi, nevis faila atjaunošanu.

Pierakstiet saskarņu pāri, faktisko filtru, ACL nosaukumu no packet-tracer un precīzās komandas, ko mainījāt. Šis ieraksts pārvērš nākamo pārskatu piecu minūšu pārbaudē, nevis vēl vienā strīdā par uzticēšanās līmeņiem.

Saistītie raksti