VPN ഡീക്രിപ്റ്റ് ചെയ്തതിന് ശേഷം ഏത് ASA നിയമമാണ് ട്രാഫിക് കാണുന്നത്

ആദ്യം ഉപേക്ഷിക്കേണ്ട അനുമാനം ക്രിപ്റ്റോ ACL ഒരു ആക്സസ് പോളിസിയാണെന്നതാണ്. അതല്ല. Cisco ASA-യിൽ ആ ലിസ്റ്റ് ഒരു ഇടുങ്ങിയ ചോദ്യത്തിന് മാത്രം ഉത്തരം നൽകുന്നു: ഏത് പാക്കറ്റുകൾ സംരക്ഷണത്തിന് അർഹമാണ്, ആ ഉത്തരം ഡീക്രിപ്റ്റ് ചെയ്ത പാക്കറ്റിന് ഫയർവാളിന് പിന്നിലെ സർവറിലേക്ക് എത്താമോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. ആക്സസ് പിന്നീടാണ് തീരുമാനിക്കുന്നത് — ഇന്റർഫേസ് പോളിസി, ഗ്രൂപ്പ് പോളിസി ഫിൽട്ടർ, അല്ലെങ്കിൽ രണ്ടും, ടണൽ എങ്ങനെ നിർമ്മിച്ചു എന്നതിനെ ആശ്രയിച്ച്.

ക്രിപ്റ്റോ ACL മറ്റൊരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു

ക്രിപ്റ്റോ ACL ഒരു പൊരുത്ത ലിസ്റ്റാണ്. രണ്ട് പീറുകൾക്കിടയിൽ എന്ത് എൻക്രിപ്റ്റ് ചെയ്യണമെന്ന് ടണലിനോട് പറയുന്നു; അതുമായി പൊരുത്തപ്പെടാത്ത പാക്കറ്റ് സംരക്ഷിക്കപ്പെടുന്നില്ല. അത് വിപുലീകരിക്കുന്നത് സംരക്ഷണത്തിന്റെ പരിധി മാറ്റുന്നു, മറ്റൊന്നുമല്ല.

അതുകൊണ്ടാണ് അവിടെ ഒരു സബ്നെറ്റ് ചേർത്താൽ ടണൽ ഉയരാം, എന്നാൽ യഥാർത്ഥ ആപ്ലിക്കേഷൻ ഇപ്പോഴും പരാജയപ്പെടുന്നു. ടണൽ ഉയർന്നിരിക്കുന്നത് ഇപ്പോൾ പൊരുത്തം ഉള്ളതുകൊണ്ടാണ്. ആപ്ലിക്കേഷൻ പരാജയപ്പെടുന്നത് ആ ലിസ്റ്റിൽ ഒന്നും ഒന്നിനും അനുമതി നൽകാത്തതുകൊണ്ടാണ്. രണ്ട് വ്യത്യസ്ത ചോദ്യങ്ങൾ, രണ്ട് വ്യത്യസ്ത ലിസ്റ്റുകൾ.

ബൈപ്പാസ് ക്രമീകരണം യഥാർത്ഥത്തിൽ ഒഴിവാക്കുന്നത്

sysopt connection permit-vpn സംരക്ഷിത ട്രാഫിക്കിന് ഇൻബൗണ്ട് വശത്ത് അല്ലെങ്കിൽ ബാധകമാകുമായിരുന്ന ഇന്റർഫേസ് ACL പരിശോധന ഒഴിവാക്കാൻ അനുവദിക്കുന്നു. ഇത് VPN വിന്യാസങ്ങൾക്കുള്ള സൗകര്യമാണ്, ഇത് ആഗോളമാണ്. ഇത് ഗ്രൂപ്പ് പോളിസിയെ സ്പർശിക്കുന്നില്ല, ഓരോ ഉപയോക്താവിനുമുള്ള അധികാര ഫിൽട്ടറെയും സ്പർശിക്കുന്നില്ല.

അനുമാനത്തിന് പകരം യഥാർത്ഥ മൂല്യം വായിക്കുക: ഒരിക്കലും വ്യക്തമായി കോൺഫിഗർ ചെയ്തിട്ടില്ലെങ്കിലും show running-config all sysopt ക്രമീകരണം അച്ചടിക്കുന്നു, ഒരുപാട് ആശയക്കുഴപ്പം അവിടെനിന്നാണ് തുടങ്ങുന്നത്.

ക്രമീകരണം ആഗോളമായതിനാൽ, പരാജയപ്പെടുന്ന ഒരു സബ്നെറ്റിൽ വേഗത്തിലുള്ള പരീക്ഷണമായി ഇത് പരിശോധിക്കുന്നത് മോശം കൈമാറ്റമാണ്. ആ ഫയർവാളിലെ മറ്റെല്ലാ ടണലുകളും ഫലം പങ്കിടുന്നു. റോൾബാക്ക് പ്ലാനുള്ള ബോധപൂർവമായ മാറ്റത്തിനായി ഇത് സൂക്ഷിക്കുക.

ഡീക്രിപ്റ്റ് ദിശയിൽ ഫിൽട്ടർ വായിക്കുക

LAN-to-LAN vpn-filter ഇന്റർഫേസിന്റേതല്ല, ടണലിന്റെ കാഴ്ചപ്പാടിൽ നിന്നാണ് എഴുതുന്നത്. ഡീക്രിപ്റ്റിന് ശേഷം പാക്കറ്റ് അങ്ങനെയാണ് കാണുന്നത് എന്നതിനാൽ ദൂര നെറ്റ്വർക്ക് ഉറവിട സ്ഥാനത്തും പ്രാദേശിക നെറ്റ്വർക്ക് ലക്ഷ്യ സ്ഥാനത്തും വരുന്നു. തുടർന്ന് അതേ ഫിൽട്ടർ എൻക്രിപ്ഷന് മുമ്പ് വിപരീത ദിശയിൽ വീണ്ടും വിലയിരുത്തപ്പെടുന്നു, വിലാസങ്ങളുടെ റോളുകൾ മറിച്ചിട്ട്.

പോർട്ട് വ്യവസ്ഥകൾ പകർത്തിയ ഇന്റർഫേസ് ACL-നേക്കാൾ കൂടുതൽ ശ്രദ്ധ അർഹിക്കുന്നു, അതേ കാരണത്താൽ. ഒരു ലക്ഷ്യ പോർട്ട് അനുവദിക്കുന്ന നിയമം വിപരീത ദിശയിൽ അനഭിലഷണീയമായ ഫലം ഉണ്ടാക്കാം, അവിടെ പുതിയ കണക്ഷൻ ആ പോർട്ട് അതിന്റെ ഉറവിടമായി ഉപയോഗിക്കുന്നു. ലിസ്റ്റ് നിർമ്മിക്കുന്നതിന് മുമ്പ് ഏത് വശത്തിന് തുടങ്ങാമെന്ന്, യഥാർത്ഥ സേവനം എന്താണെന്ന്, ഏത് എതിർവശം അടച്ചിടേണ്ടതാണെന്ന് എഴുതി വയ്ക്കുക.

ഏത് ഫിൽട്ടറാണ് യഥാർത്ഥത്തിൽ ഘടിപ്പിച്ചിരിക്കുന്നതെന്ന് ഉറപ്പാക്കുക: show running-config group-policy-ഉം show vpn-sessiondb detail l2l-ഉം ഒരുമിച്ച് സെഷൻ എന്ത് പാരമ്പര്യമായി കിട്ടി എന്ന് പറയുന്നു. ഒരു പോളിസിയും റഫർ ചെയ്യാത്ത ACL എഡിറ്റ് ചെയ്യുന്നത് ഒന്നും മാറ്റുന്നില്ല.

ഒരു ACL ഒബ്ജക്ട് രണ്ട് ജോലികൾക്ക് വീണ്ടും ഉപയോഗിക്കരുത്

ഇന്റർഫേസിന്റെ access-group-ഉം vpn-filter-ഉം ഒരേ തരത്തിലുള്ള ഒബ്ജക്ടായി തോന്നുന്നു, പക്ഷേ വ്യത്യസ്ത പോയിന്റുകളിൽ വ്യത്യസ്ത വിലാസ ദിശയോടെ വിലയിരുത്തപ്പെടുന്നു. ഒരു ലിസ്റ്റ് രണ്ടിനും നൽകുന്നത് ടണൽ ശരിയാക്കി ഭൗതിക ഇന്റർഫേസ് നിശബ്ദമായി അയച്ചുവിടുന്ന മാറ്റത്തിന് ക്ഷണം നൽകുന്നു.

അവ വെവ്വേറെ സൂക്ഷിക്കുക, അവയുടെ ജോലിക്കനുസരിച്ച് പേരിടുക, ദിശയിലെ വ്യത്യാസം പേരുകളിൽ കാണാവുന്നതാക്കുക.

പുതിയ കണക്ഷനുകളിലൂടെ, രണ്ട് ദിശകളിലും പരിശോധിക്കുക

ആസൂത്രിത മാറ്റത്തിന് ശേഷം അനുവദിക്കേണ്ട ഒരു പുതിയ കണക്ഷനും നിരസിക്കേണ്ട ഒരു പുതിയ കണക്ഷനും തുറക്കുക, തുടർന്ന് വിലാസങ്ങളും ദിശയും പോളിസി പൊരുത്തവും ഫലത്തോടൊപ്പം രേഖപ്പെടുത്തുക. സ്ഥാപിതമായ ഒരു സെഷൻ പുതിയ കണക്ഷനുകളുടെ ഫിൽട്ടറിംഗിനെക്കുറിച്ച് ഒന്നും തെളിയിക്കുന്നില്ല, കാരണം അത് പഴയ നിയമങ്ങൾ പ്രകാരം ഇതിനകം പ്രവേശിപ്പിക്കപ്പെട്ടതാണ്.

ഇൻസ്പെക്ഷനും കണക്കിലെടുക്കുക. വെണ്ടർ ഡോക്യുമെന്റേഷൻ സൂചിപ്പിക്കുന്നത് VPN ഫിൽട്ടർ പ്രാരംഭ കണക്ഷൻ പരിശോധിക്കുന്നു എന്നാണ്, ഇൻസ്പെക്ഷൻ എൻജിൻ തുറക്കുന്ന ഓരോ ദ്വിതീയ കണക്ഷനും അല്ല, അതിനാൽ ഒരു നിയന്ത്രണ ചാനലിനും അതിനോട് ബന്ധപ്പെട്ട മീഡിയ ഫ്ലോയ്ക്കും വ്യത്യസ്ത പെരുമാറ്റം ലഭിക്കാം. ആപ്ലിക്കേഷന് പ്രോട്ടോക്കോൾ അറിയാമെങ്കിൽ, ഒരു പോർട്ട് പ്രോബിന് പകരം യഥാർത്ഥ ഫ്ലോ പരിശോധിക്കുക.

വിശാലമായ ബൈപ്പാസിന് ശേഷം ഉപയോഗയോഗ്യമാകുന്ന ടണൽ നിയന്ത്രണം നീക്കി എന്നാണ് പറയുന്നത്, അത് പാലിച്ചു എന്നല്ല. സൂക്ഷിക്കാൻ യോഗ്യമായ ഫലം അടുത്ത അവലോകനത്തിൽ ചൂണ്ടിക്കാണിക്കാവുന്ന ഒരു പേരുള്ള നിർവ്വഹണ പോയിന്റാണ്.