Кое правило на ASA го гледа сообраќајот откако VPN ќе го дешифрира

Првата претпоставка од која треба да се откаже е дека крипто ACL е политика за пристап. Не е. На Cisco ASA таа листа одговара на едно тесно прашање: кои пакети заслужуваат заштита, а тој одговор не кажува ништо за тоа дали дешифрираниот пакет може да стигне до серверот зад огнениот ѕид. Пристапот се одлучува подоцна, со политика на интерфејсот, со филтер на групна политика или со двете, зависно од тоа како е изграден тунелот.

Крипто ACL одговара на друго прашање

Крипто ACL е листа за совпаѓање. Му кажува на тунелот што да шифрира меѓу два партнера; пакет што не се совпаѓа со неа едноставно не е заштитен. Нејзиното проширување го менува опсегот на заштита и ништо друго.

Затоа додавањето подмрежа таму може да крене тунел додека вистинската апликација сè уште не работи. Тунелот е кренат затоа што сега постои совпаѓање. Апликацијата сè уште не работи затоа што ништо на таа листа не дозволува ништо. Две различни прашања, две различни листи.

Што навистина прескокнува поставката за заобиколување

sysopt connection permit-vpn му дозволува на заштитениот сообраќај да ја прескокне проверката на ACL на интерфејсот што инаку би важела на влезната страна. Тоа е погодност за распоредувања на VPN и е глобална. Не ја допира групната политика и не го допира филтерот за авторизација по корисник.

Читајте ја вистинската вредност, а не претпоставката: show running-config all sysopt ја печати поставката дури и кога таа никогаш не била експлицитно конфигурирана, и токму таму започнува многу забуна.

Бидејќи поставката е глобална, тестирањето како брз експеримент на една подмрежа што не работи е лоша размена. Секој друг тунел на тој огнен ѕид го дели резултатот. Зачувајте ја за намерна промена со план за враќање.

Читајте го филтерот во насоката на дешифрирање

LAN-to-LAN vpn-filter се пишува од гледна точка на тунелот, а не на интерфејсот. Оддалечената мрежа оди на местото на изворот, а локалната мрежа на местото на одредиштето, бидејќи така изгледа пакетот по дешифрирањето. Истиот филтер потоа повторно се оценува во спротивната насока пред шифрирањето, со заменети улоги на адресите.

Условите за порти заслужуваат повеќе внимание отколку копиран ACL на интерфејс, токму поради тоа. Правило што дозволува една одредишна порта може да има несакан ефект во обратната насока, каде нова врска ја користи таа порта како извор. Запишете која страна смее да иницира, вистинската услуга и спротивната страна што мора да остане затворена пред да ја изградите листата.

Потврдете кој филтер е навистина прикачен: show running-config group-policy и show vpn-sessiondb detail l2l заедно кажуваат што наследила сесијата. Уредувањето на ACL на кој не се повикува ниедна политика не менува ништо.

Не користете еден ACL објект за две работи

Интерфејсниот access-group и vpn-filter изгледаат како ист вид објект и се оценуваат во различни точки со различна ориентација на адресите. Доделувањето на една листа на двете повикува на промена што го поправа тунелот и тивко го олабавува физичкиот интерфејс.

Држете ги одделно, именувајте ги по нивната работа и нека разликата во насоката биде видлива во имињата.

Проверете со нови врски, во двете насоки

По планирана промена, отворете една нова врска што треба да биде дозволена и една нова врска што треба да биде одбиена, потоа запишете ги адресите, насоката и совпаѓањето со политиката заедно со резултатот. Воспоставена сесија не докажува ништо за филтрирањето на нови врски, бидејќи веќе била пуштена според старите правила.

Земете ја предвид и инспекцијата. Документацијата на производителот забележува дека VPN филтерот ја проверува почетната врска, а не секоја секундарна врска што ја отвора инспекциски мотор, па контролен канал и неговиот поврзан медиумски тек можат да добијат различен третман. Ако апликацијата го познава протоколот, тестирајте го вистинскиот тек наместо една сонда на порта.

Тунел што станува употреблив по широко заобиколување кажува дека ограничувањето е отстрането, а не дека е исполнето. Резултатот што вреди да се задржи е именувана точка на спроведување на која можете да покажете при следниот преглед.