Зошто далечинскиот корисник на ASA стигнува до подмрежата, но не до апликацијата
Рутите докажуваат дека тунелот работи, а не дека корисникот смее да ја отвори апликацијата. Прочитајте го филтерот што сесијата го доби, потоа тестирајте дозволена и одбиена врска.
Вашиот корисник се поврзува, добива адреса, пингува сервер во подмрежата на апликацијата и сепак не може да ја отвори услугата на него. Таа комбинација е нормална на ASA, бидејќи успешен тунел и употреблива дозвола се одредуваат со различни поставки. Списокот на поделен тунел избра кои одредишта влегуваат во тунелот; VPN филтер и сопствените правила за пристап на одредиштето одредуваат што смее да достигне дешифрираното барање. Поминете ги трите одлуки по ред, наместо да го проширувате списокот со рути додека нешто не се смени.
Три одлуки што лесно се мешаат
Приемот одговара дали корисникот воопшто смее да воспостави тунел: акредитиви, сертификат и секој втор фактор. Изборот на рута одговара кои одредишта клиентот ги праќа во тој тунел. Авторизацијата одговара дали дешифрираното барање смее да ја достигне услугата. Само третата ја создава грешката што корисникот ја пријавува.
Брз начин да ги разликувате е да прашате што би скршила некоја промена. Отстранување рута од поделениот список го запира сообраќајот до таа подмрежа без да даде ништо; додавање ACE во VPN филтерот дава одредиште без да го смени она што клиентот го тунелира.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Прочитајте го филтерот што сесијата навистина го доби
Започнете од живата сесија, а не од конфигурацијата што мислите дека важи. show vpn-sessiondb detail anyconnect ги печати доделената групна политика и името на филтерот прикачен на таа сесија. Ако полето е празно, ниту еден филтер не наметнува ништо и блокирањето доаѓа од друго место.
Потоа прочитајте ја политиката што ја поседува вредноста, вклучително стандардните вредности, бидејќи филтерот може да биде наследен, а не запишан таму каде што гледате:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Споредете го името на филтерот на сесијата со ACL што штотуку го уредивте. ACL со слично име што корисникот никогаш не го добил не може да ја смени ресурсната политика на таа сесија, и тоа е најчестата причина зошто промена што изгледа исправна нема ефект.
Приоритетот го објаснува остатокот. За поставката на филтерот, записот DAP е над атрибутите на корисничкото име, а атрибутите на корисничкото име се над групната политика. Кога сесијата прикажува филтер што не сте го очекувале, побарајте DAP политика што одговара на тој корисник пред да ја допрете групата.
Поделениот список и филтерот се одделни полиња
На ASA 9.x групната политика чува split-tunnel-network-list и vpn-filter како различни поставки, и водичот за групни политики 9.22 ги документира одделно токму поради тоа. Мрежниот список е навестување за рутирање до клиентот; филтерот е список за контрола на пристап што се применува на дешифриран сообраќај.
Таа разлика е важна кога на корисникот му треба една HTTPS услуга во подмрежа. Ставете ја подмрежата во поделениот список за пакетите да влезат во тунелот, потоа во филтерот дозволете само таа услуга. Проширувањето на списокот со рути не авторизира ништо, а неговото намалување не е механизам за спроведување.
Проверете дали ACL на интерфејсот воопшто е на патот
Дешифрираниот сообраќај за далечински пристап не секогаш го поминува ACL на надворешниот интерфејс како што луѓето претпоставуваат. Онаму каде sysopt connection permit-vpn е овозможено, ASA го применува своето документирано VPN заобиколување за тој сообраќај, додека применливите VPN филтри важат и понатаму. Проверете ја поставката со show run all sysopt наместо да заклучувате од тополошката шема.
Како и да е, сопствениот firewall на одредишниот домаќин и авторизацијата на апликацијата остануваат на патот. Правило на ASA што дозволува TCP 443 не прави апликацијата да го прифати корисникот.
Прифатете ја промената и со одбиена врска
Само дозволен тест докажува многу малку, бидејќи работен тунел произведува истиот прв пакет без разлика дали постои филтер. Отворете ја предвидената услуга од клиентот, потоа обидете се со одредиште што треба да остане затворено и потврдете дека не успева од вистинската причина.
Запишете четири факти кога го затворате тикетот: прифатениот идентитет, политиката и филтерот што сесијата навистина ги доби, одредиштата во поделениот список и ресурсот до кој корисникот смеел да стигне. Тие четири објаснуваат каде се контролира сообраќајот без да го претворат списокот со рути во firewall.
Ако услугата продолжува да одбива откако филтерот ќе ја дозволи, преминете на домаќинот: адреса за слушање, firewall на домаќинот и сопственото мапирање на корисници на апликацијата. Тунелот во тој момент ја завршил својата работа, а понатамошните промени на ASA само додаваат ризик.