Kāpēc ASA attālinātais lietotājs sasniedz apakštīklu, bet ne lietotni
Maršruti pierāda, ka tunelis strādā, nevis to, ka lietotājs drīkst atvērt lietotni. Izlasiet filtru, ko sesija saņēma, pēc tam pārbaudiet atļautu un atteiktu savienojumu.
Jūsu lietotājs pieslēdzas, iegūst adresi, pingē serveri lietotnes apakštīklā un tomēr nevar atvērt tajā esošo pakalpojumu. Šī kombinācija ASA ir normāla, jo veiksmīgu tuneli un lietojamu atļauju nosaka dažādi iestatījumi. Sadalītā tuneļa saraksts izvēlējās, kuri galamērķi nonāca tunelī; VPN filtrs un paša galamērķa piekļuves noteikumi nosaka, ko drīkst sasniegt atšifrētais pieprasījums. Izskatiet trīs lēmumus pēc kārtas, nevis paplašiniet maršrutu sarakstu, līdz kaut kas mainās.
Trīs lēmumi, kurus viegli sajaukt
Pieņemšana atbild, vai lietotājs vispār drīkst izveidot tuneli: akreditācijas dati, sertifikāts un jebkurš otrais faktors. Maršruta izvēle atbild, kurus galamērķus klients sūta šajā tunelī. Autorizācija atbild, vai atšifrētais pieprasījums drīkst sasniegt pakalpojumu. Tikai trešais rada kļūdu, par kuru ziņo lietotājs.
Ātrs veids, kā tos atšķirt, ir jautāt, ko salauztu izmaiņas. Maršruta noņemšana no sadalītā saraksta aptur datplūsmu uz šo apakštīklu, neko nepiešķirot; ACE pievienošana VPN filtram piešķir galamērķi, nemainot to, ko klients tunelē.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Izlasiet filtru, ko sesija faktiski saņēma
Sāciet ar aktīvo sesiju, nevis ar konfigurāciju, kura, jūsuprāt, ir spēkā. show vpn-sessiondb detail anyconnect izdrukā piešķirto grupas politiku un šai sesijai piesaistītā filtra nosaukumu. Ja lauks ir tukšs, neviens filtrs neko nepiemēro un bloķēšana nāk no citurienes.
Pēc tam izlasiet politiku, kurai pieder vērtība, tostarp noklusējuma vērtības, jo filtrs var tikt mantots, nevis ierakstīts tur, kur skatāties:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Salīdziniet filtra nosaukumu sesijā ar ACL, kuru tikko rediģējāt. Līdzīgi nosaukts ACL, kuru lietotājs nekad nav saņēmis, nevar mainīt šīs sesijas resursu politiku, un tas ir visbiežākais iemesls, kāpēc pareizi izskatīgas izmaiņas neietekmē neko.
Prioritāte izskaidro pārējo. Filtra iestatījumam DAP ieraksts ir augstāks par lietotājvārda atribūtiem, un lietotājvārda atribūti ir augstāki par grupas politiku. Ja sesija rāda filtru, kuru negaidījāt, pirms grupas aiztikšanas meklējiet šim lietotājam atbilstošu DAP politiku.
Sadalītais saraksts un filtrs ir atsevišķi lauki
ASA 9.x grupas politika glabā split-tunnel-network-list un vpn-filter kā dažādus iestatījumus, un 9.22 grupas politikas rokasgrāmata tos dokumentē atsevišķi tieši šī iemesla dēļ. Tīkla saraksts ir maršrutēšanas mājiens klientam; filtrs ir piekļuves kontroles saraksts, ko piemēro atšifrētai datplūsmai.
Šī atšķirība ir svarīga, ja lietotājam apakštīklā vajag vienu HTTPS pakalpojumu. Ievietojiet apakštīklu sadalītajā sarakstā, lai paketes nonāktu tunelī, pēc tam filtrā atļaujiet tikai šo pakalpojumu. Maršrutu saraksta paplašināšana neko neautorizē, un tā sašaurināšana nav izpildes mehānisms.
Pārbaudiet, vai saskarnes ACL vispār ir ceļā
Atšifrētā attālinātās piekļuves datplūsma ne vienmēr šķērso ārējās saskarnes ACL tā, kā cilvēki pieņem. Kur sysopt connection permit-vpn ir iespējots, ASA piemēro savu dokumentēto VPN apiešanu šai datplūsmai, kamēr piemērojamie VPN filtri joprojām darbojas pēc tam. Pārbaudiet iestatījumu ar show run all sysopt tā vietā, lai spriestu pēc topoloģijas shēmas.
Jebkurā gadījumā galamērķa resursdatora ugunsmūris un lietotnes autorizācija paliek ceļā. ASA noteikums, kas atļauj TCP 443, nepanāk, ka lietotne pieņem lietotāju.
Pieņemiet izmaiņas arī ar atteiktu savienojumu
Viens atļauts tests pierāda ļoti maz, jo strādājošs tunelis rada to pašu pirmo paketi neatkarīgi no tā, vai filtrs pastāv. Atveriet paredzēto pakalpojumu no klienta, pēc tam pamēģiniet galamērķi, kuram jāpaliek aizvērtam, un apstipriniet, ka tas neizdodas pareizā iemesla dēļ.
Aizverot biļeti, pierakstiet četrus faktus: pieņemto identitāti, politiku un filtru, ko sesija faktiski saņēma, galamērķus sadalītajā sarakstā un resursu, kuru lietotājam bija atļauts sasniegt. Šie četri izskaidro, kur datplūsma tiek kontrolēta, nepārvēršot maršrutu sarakstu par ugunsmūri.
Ja pakalpojums joprojām atsakās pēc tam, kad filtrs to atļauj, pārejiet pie resursdatora: klausīšanās adrese, resursdatora ugunsmūris un pašas lietotnes lietotāju kartēšana. Tunelis tajā brīdī izdarīja savu darbu, un turpmākas ASA izmaiņas tikai pievieno risku.