VPN меѓу локации работи, но ASA дневниците не пристигнуваат: проверете ја изворната адреса

Внатрешните домаќини стигнуваат до далечинскиот собирач и нивните syslog редови се појавуваат. Самите пораки на ASA за истите сесии никогаш не пристигнуваат. Ниту собирачот ниту тунелот немаат проблем, и токму тоа збунува. Заштитниот ѕид ги испраќа своите дневници од извор за чија заштита тунелот никогаш не бил изграден.

Што пристигнува, а што не

Започнете со разделување на два тека што на панелот изгледаат идентично. Пренесениот сообраќај поминува низ ASA: LAN домаќин испраќа до собирачот, ASA го споредува со политиката на тунелот, го шифрира, и собирачот ја гледа адресата на домаќинот. Создадениот сообраќај започнува на самата ASA: уредот составува syslog пакет, избира излезна интерфејс и извор и само потоа прашува дали се совпаѓа некоја политика на тунелот. Првиот тек докажува дека тунелот работи, и не кажува ништо за вториот.

Баферен настан на уредот исто така не е доказ за далечинска испорака, бидејќи дневникот може да постои локално и никогаш да не бил испратен. Проверете ги бројачите за прием на собирачот пред да го обвините тунелот, бидејќи празен бројач е различен наод од бројач што расте.

Создадената порака не е пренесен сообраќај

Кога ASA сама создава пакет, таа не посредува за LAN домаќин. Изворот доаѓа од излезната интерфејс или од експлицитно поставување на извор, и пакетот влегува во истото пребарување на маршрута и истите проверки на политика како и се друго што го испраќа уредот. Тоа значи дека VPN селекторот мора да ја вклучи адресата што ASA навистина ја користи, а тоа е често нејзината надворешна интерфејс, а не внатрешна подмрежа.

Ако политиката го штити 10.20.0.0/24, а ASA како извор ја користи својата надворешна адреса, пакетот на дневникот или излегува во чист текст кон собирач што не може да го достигне, или се отфрла. Двата исхода изгледаат идентично од страната на собирачот. Истото размислување важи и за управниот сообраќај, затоа management-access е посебна проектна одлука.

Кој извор ASA го става на мрежата

Најдете го изворот емпириски, а не со претпоставка. Снимање на излезната интерфејс за време на тест порака ги покажува вистинскиот извор и одредиштето, и троши помалку време од читање три дела од конфигурацијата. Споредете ја таа адреса со локалниот селектор на тунелот.

Некои изданија дозволуваат изворот на дневникот да се закачи за интерфејс, а референцата за команди за вашата верзија е авторитет за тоа дали таа опција постои и што менува. Командата source-interface од друга Cisco платформа не е автоматски важечка на ASA.

Ако сепак го промените изворот, направете го тоа намерно и запишете го, бидејќи ACL-овите на собирачот и секоја корелација изградена на syslog зависат од него.

Усогласете го селекторот со текот на дневникот

Кога изворот е познат, проверете три работи по ред: крипто ACL или селектор заснован на политика што одлучува кој сообраќај е интересен, маршрутата што одлучува каде оди пакетот и секое NAT правило што може да го препише изворот пред шифрирање. Пакет што се совпаѓа со маршрутата но не со селекторот не се тунелира, а пакет препишан од NAT може да не се совпаѓа со ниту едно.

Страната на собирачот има свои барања: ACL што го дозволува изворот на ASA, повратна маршрута и служба што слуша на портата што сте ја конфигурирале. Преносот е важен и тука, бидејќи TCP и TLS евидентирањето се однесува поинаку од UDP на делумно блокиран пат. Менувајте еден елемент по еден, инаку следното снимање нема да ви каже која промена била важна.

Проверете кај собирачот, потоа запишете го изворот

Потврдете дека пораката пристигнува, потоа запишете ја изворната адреса што ја користела ASA, селекторот што ја пренел и сериозноста со која тестиравте.

Тој запис ја претвора следната промена на ACL на собирачот или уредувањето на селекторот во двоминутна проверка наместо повторно откривање. Тој исто така документира кој од двата тека некогаш бил валидиран, и токму тој дел го испуштаат повеќето прирачници. Ако пораката и понатаму не пристигнува, привремено намалете го прагот на сериозност и тестирајте кон едно одредиште.

Cisco ЧПП за евидентирање на ASA документира случај со надворешен извор што бара соодветна дефиниција за заштитен сообраќај, а неговиот пример со внатрешен извор вклучува и домаќин за дневници внатре и management-access внатре. Третирајте ја документираната комбинација и контекстот на софтверот заедно, наместо да претпоставите дека еден копиран ред одговара на секоја конфигурација.

Тунел што пренесува LAN сообраќај не е тунел што го пренесува сопствениот глас на заштитниот ѕид.