Дали VPN подмрежата го наследува безбедносното ниво на ASA интерфејсот?

Дешифрирана VPN подмрежа никогаш не наследува безбедносно ниво на интерфејс. Проверете одделно sysopt connection permit-vpn, филтерот на групата и пристапот за управување.

Некој прашува дали VPN подмрежата на огранокот има „безбедносно ниво 0 или 100“ на ASA, а прашањето веќе ја содржи грешката. Безбедносното ниво е својство на локален интерфејс и се доделува од 0 до 100 во конфигурацијата на интерфејсот. Оддалечена подмрежа што пристигнува преку тунел не добива такво, како и да е напишана crypto map. Затоа прашањето нема бројчен одговор.

Практичното следно прашање е подобро: која политика го пушта огранокот до серверот и која го држи подалеку од самиот firewall. Тоа се два одговори, а постапката подолу ги раздвојува.

Безбедносните нивоа им припаѓаат на интерфејсите

Извршете show running-config interface и ќе видите security-level под секој физички интерфејс или VLAN интерфејс, не под групата на тунелот или crypto map. Стандардната дозвола од повисоко кон пониско се оценува меѓу тие интерфејси, затоа бројот го менува однесувањето на инспекцијата и имплицитната ACL на патеката на која ѝ припаѓа.

За дешифриран VPN тек, влезот е и понатаму надворешниот интерфејс каде што завршува тунелот, а излезот е внатрешниот интерфејс кон серверот. Запишете ги двете пред да допрете нешто. Тој еден чекор го отстранува најголемиот дел од конфузијата, бидејќи апстрактното прашање за доверба го претвора во пар интерфејси.

Заобиколувањето на ACL има именувана граница

sysopt connection permit-vpn е поставката што луѓето полусеќаваат кога велат дека VPN сообраќајот ги игнорира ACL-ите. Таа навистина ја прескокнува ACL-та на интерфејсот за сообраќај што се квалификува како VPN сообраќај, а водичот за параметри 9.x ја ограничува по интерфејс и насока наместо да прогласи глобално исклучок.

Проверете што е конфигурирано пред да заклучувате од меморија:

  • show running-config all sysopt за да ја видите вистинската вредност, не само линиите што не се стандардни.
  • show running-config access-group за да видите која ACL е применета на кој интерфејс и насока.
  • show vpn-sessiondb detail l2l за да потврдите која група на тунел и кој филтер навистина ги користи сесијата.

Исклучувањето на оваа поставка за зајакнување на VPN пристапот е промена со големо влијание. Таа повторно го подредува секој квалификуван VPN тек на надворешната ACL, што обично ги крши тунелите што работат на начини неповрзани со огранокот за кој ве прашаа.

Прочитајте го филтерот прикачен на сесијата

Вистинската контрола по тунел е VPN филтерот: ACL на која упатува групната политика или корисничкото име, применета по дешифрирањето и пред шифрирањето. Филтерот на корисничко ниво ја надминува вредноста на групно ниво, така што две лица во иста група на тунел можат да имаат различен ефективен пристап.

Потврдете го приоритетот наместо да го претпоставите. show running-config group-policy <name> ја покажува групната вредност, а show running-config username <name> покажува дали постои вредност по корисник. Ако постојат двете, победува корисничката вредност. Потоа споредете ги записите на таа ACL со текот што ве интересира, во насоката во која оценува филтерот.

Филтер што го дозволува апликацискиот сервер не кажува ништо за управувањето. Тоа се одделни правила на одделна патека.

Проверете една дозвола и едно одбивање

Packet-tracer е најбрзиот начин да ја видите одлуката без да чекате корисник да ја пријави. Дајте му го текот од дешифрираната страна и оставете го да ги именува фазите на ACL, NAT и инспекција низ кои поминува.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прочитајте ја линијата со резултат: таа ја именува ACL-та што го дозволила или отфрлила пакетот.
  3. Повторете со административната дестинација на внатрешниот интерфејс и потврдете одбивање.
  4. Повторете уште еднаш по секоја промена, за да бидат запишани и претходната и следната состојба.

Потоа проверете со вистински сообраќај: едно успешно барање на апликација од огранокот и еден неуспешен SSH обид кон ASA. Packet-tracer ја моделира патеката; живиот тек докажува дека моделот се совпаднал.

Вратете ја промената што го направи да работи

Ако поправката беше исклучување на заобиколувањето на ACL или проширување на филтер, задржете ја претходната конфигурација. Снимка show run од засегнатите објекти, зачувана пред промената, е доволна за нивно враќање; конфигурацијата на ASA е ориентирана кон линии, па враќањето значи повторно внесување на старите линии, а не враќање на датотека.

Запишете го парот интерфејси, ефективниот филтер, името на ACL-та од packet-tracer и точните команди што сте ги смениле. Тој запис го претвора следниот преглед во петминутна проверка наместо уште една дебата за нивоата на доверба.

Поврзани статии