ASA യുടെ TACACS+ അഭ്യർത്ഥനകൾ നിങ്ങളുടെ ബ്രാഞ്ച് VPN ടണൽ ഒഴിവാക്കുന്നത് എന്തുകൊണ്ട്

ബ്രാഞ്ച് ടണൽ പ്രവർത്തിക്കുന്നു, ഉപയോക്താക്കൾ ദൂരെയുള്ള TACACS+ സെർവറിൽ പ്രാമാണീകരണം നടത്തുന്നു, എന്നാൽ ഫയർവാളിന്റെ സ്വന്തം ലോഗിൻ ഇപ്പോഴും സമയം കഴിഞ്ഞ് പരാജയപ്പെടുന്നു. കാരണം ടണലിലെ തകരാറല്ല: LAN-to-LAN ടണൽ അതിന്റെ സെലക്ടറുകളുമായി പൊരുത്തപ്പെടുന്ന ട്രാഫിക് മാത്രം കൊണ്ടുപോകുന്നു, ASA തന്നെക്കുറിച്ച് സൃഷ്ടിക്കുന്ന മാനേജ്മെന്റ് ട്രാഫിക് സ്വന്തം സ്രോതസ്സ് വിലാസമുള്ള വേറിട്ട ഒഴുക്കാണ്. മിക്ക ടീമുകളും ഇത് കണ്ടെത്തുന്നത് മാറ്റ വിൻഡോയ്ക്കിടയിൽ, ഏക അഡ്മിനിസ്ട്രേറ്റർ അക്കൗണ്ട് തന്നെ പരാജയപ്പെടുമ്പോഴാണ്. ASA ആരംഭിക്കുന്ന AAA സെഷൻ നിങ്ങൾ രൂപകൽപ്പന ചെയ്യേണ്ട ഒഴുക്കായി കാണുക, ഇതിനകം പ്രവർത്തിക്കുന്ന കണക്ടിവിറ്റിയുടെ പാർശ്വഫലമായി അല്ല.

ASA തന്നെയാണ് ക്ലയന്റ്, അതിന്റെ സ്വന്തം ട്രാഫിക്കിന് സ്വന്തം പാത വേണം

ഫയർവാൾ ഒരു TACACS+ സെർവറുമായി ബന്ധപ്പെടുമ്പോൾ, ഫയർവാൾ മറ്റേതൊരു ക്ലയന്റും പോലെയാണ്, പക്ഷേ ആരും ബോധപൂർവം അതിന് ഒരു റൂട്ട് കോൺഫിഗർ ചെയ്തിട്ടില്ല. അതിന്റെ പാക്കറ്റുകൾ ഉപകരണത്തിലെ ഇന്റർഫേസ് വിലാസത്തിൽ നിന്ന് ഉത്ഭവിക്കുന്നു, ഫോർവേഡ് ചെയ്യുന്നതിനുപകരം പ്രാദേശികമായി സൃഷ്ടിക്കപ്പെടുന്നു, ഉപയോക്തൃ ട്രാഫിക്ക് പോലെ തന്നെ അവ റൂട്ട് ചെയ്യാനും വിവർത്തനം ചെയ്യാനും നയം കൊണ്ട് സംരക്ഷിക്കാനും വേണം. ഉപയോക്തൃ സബ്നെറ്റ് സംരക്ഷിക്കുന്ന സൈറ്റ്-ടു-സൈറ്റ് ടണൽ ആ മാനേജ്മെന്റ് സ്രോതസ്സിനെ സ്വയമേവ സംരക്ഷിക്കുന്നില്ല, കാരണം ട്രാഫിക് തിരഞ്ഞെടുപ്പ് വിലാസങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്, ഉദ്ദേശ്യത്തെയല്ല.

സെർവർ കാണുമെന്ന് നിങ്ങൾ പ്രതീക്ഷിക്കുന്ന വിലാസം എഴുതിവയ്ക്കുക. ഒരു വരിയിൽ പറയാൻ കഴിയുന്നില്ലെങ്കിൽ, നിങ്ങൾക്ക് ഇപ്പോഴും ഒരു രൂപകൽപ്പനയില്ല.

aaa-server വരിയിലെ ഇന്റർഫേസ് അലങ്കാരമല്ല

ASA യിൽ aaa-server ഹോസ്റ്റ് എൻട്രി ബ്രാക്കറ്റിൽ ഇന്റർഫേസ് ബന്ധം സ്വീകരിക്കുന്നു, കൂടാതെ Cisco യുടെ AAA ഹോസ്റ്റ് കമാൻഡ് റഫറൻസ് അതിനെ പ്രാമാണീകരണ സെർവർ സ്ഥിതി ചെയ്യുന്ന ഇന്റർഫേസായി വിവരിക്കുന്നു. ആ ബന്ധമാണ് അഭ്യർത്ഥനയെ ഒരു ഇന്റർഫേസുമായും ആ ഇന്റർഫേസ് പ്രയോഗിക്കുന്ന നയവുമായും ബന്ധിപ്പിക്കുന്നത്. ഇന്റർനെറ്റിലേക്ക് അഭിമുഖീകരിക്കുന്ന ഏതെങ്കിലും ഇന്റർഫേസ് പ്രകാരം അത് തിരഞ്ഞെടുക്കുകയോ അവസാന മൈഗ്രേഷനിൽ നിന്ന് ബാക്കിയുള്ളത് വിടുകയോ ചെയ്താൽ, ദൂരെയുള്ള സെർവറും ടണലും ഒരിക്കലും നിർമ്മിക്കാത്ത ഒരു സ്രോതസ്സ് വിലാസം ലഭിക്കും.

inside ശരിയായ ഉത്തരമാകുന്നത് പേരിട്ട ഇന്റർഫേസിൽ നിങ്ങളുടെ രൂപകൽപ്പന സ്രോതസ്സായി ഉപയോഗിക്കാൻ ഉദ്ദേശിക്കുന്ന വിലാസം ഉള്ളപ്പോൾ മാത്രമാണ്. ബ്രാഞ്ച് ഉപകരണത്തിൽ ഇത് പലപ്പോഴും അങ്ങനെയാണ്; നിരവധി സ്വകാര്യ സെഗ്മെന്റുകളുള്ള ഉപകരണത്തിൽ അങ്ങനെയല്ലായിരിക്കാം.

ബന്ധം മാറ്റുക എന്നാൽ എൻട്രി വീണ്ടും സൃഷ്ടിക്കുക എന്നാണ്

അതേ കമാൻഡ് റഫറൻസ്, മാറ്റങ്ങൾക്കിടയിൽ ആളുകളെ കുടുക്കുന്ന ഒരു എഡിറ്റിംഗ് നിയന്ത്രണം രേഖപ്പെടുത്തുന്നു: നിലവിലുള്ള ഹോസ്റ്റിലെ ഇന്റർഫേസ് മാറ്റാൻ ഹോസ്റ്റ് എൻട്രി നീക്കം ചെയ്ത് വീണ്ടും സൃഷ്ടിക്കണം. എഡിറ്റ് ചെയ്തതായി തോന്നുന്ന ഒരു കോൺഫിഗറേഷൻ പ്രാബല്യത്തിൽ വന്നിട്ടുണ്ടാകണമെന്നില്ല, അടുത്ത ലോഗിൻ ശ്രമവും പഴയ വിലാസത്തിൽ നിന്ന് തന്നെ പുറത്തുപോകും. അത് സ്ഥലത്തുതന്നെയുള്ള തിരുത്തലായല്ല, യഥാർത്ഥ എൻട്രിയുടെ ഒരു പകർപ്പ് മുന്നിൽ വച്ച് ഇല്ലാതാക്കി-ചേർക്കുന്ന ജോലിയായി ആസൂത്രണം ചെയ്യുക.

നിരവധി സെർവറുകൾ നിർവചിച്ചിട്ടുണ്ടെങ്കിൽ, ഒന്ന് മാറ്റി പരീക്ഷിച്ചതിനുശേഷം ബാക്കിയുള്ളവയിൽ സ്പർശിക്കുക, ഒരു തെറ്റ് എല്ലാ അഡ്മിനിസ്ട്രേറ്റീവ് പാതകളും ഒരുമിച്ച് പൂട്ടിയിടാതിരിക്കാൻ.

സെലക്ടറുകൾ, വിവർത്തനം, മടങ്ങിവരവ് പാത എന്നിവ ഒരുമിച്ച് പരിശോധിക്കുക

അഭ്യർത്ഥന എത്താൻ മൂന്ന് കാര്യങ്ങൾ ഒത്തുചേരണം. ടണലിന്റെ ട്രാഫിക് സെലക്ടറുകൾ, അല്ലെങ്കിൽ ടണൽ-ഇന്റർഫേസ് സംരക്ഷണം നിങ്ങൾ ഉപയോഗിക്കുന്നുണ്ടെങ്കിൽ അത്, ASA യുടെ സ്വന്തം സ്രോതസ്സും സെർവറിന്റെ വിലാസവും ഉൾക്കൊള്ളണം; ഉപയോക്തൃ സബ്നെറ്റുകൾക്കായി നിർമ്മിച്ച സെലക്ടർ പട്ടിക സാധാരണയായി അങ്ങനെ ചെയ്യില്ല. പാതയിലെ ഏതെങ്കിലും NAT നിയമം ആ സ്രോതസ്സ് സ്ഥിരതയോടെ വിവർത്തനം ചെയ്യണം, കാരണം സെർവർ കാണുന്ന വിലാസം ഉൾക്കൊള്ളുന്ന നെറ്റ്വർക്ക് ഉപകരണ ഐഡന്റിറ്റി അംഗീകരിക്കുന്നു. മടങ്ങിവരവ് പാത നിലനിൽക്കണം, ഇത് നയാധിഷ്ഠിത ടണലിൽ വിപരീത ദിശയിൽ യോജിക്കുന്ന സെലക്ടർ ദൂരേയുള്ള അറ്റത്ത് ഉണ്ടെന്നാണ് അർത്ഥമാക്കുന്നത്.

സെർവർ വശത്ത് ഉപകരണ ഐഡന്റിറ്റി, പങ്കിട്ട രഹസ്യം, അഡ്മിനിസ്ട്രേറ്റീവ് നയം എന്നിവ വെവ്വേറെ സ്ഥിരീകരിക്കുക. TACACS+ പ്രാമാണീകരണം, അധികാരം, അക്കൗണ്ടിംഗ് എന്നിവ വേറിട്ട പ്രവർത്തനങ്ങളായി സൂക്ഷിക്കുന്നു, അതിനാൽ പൂർത്തിയായ കൈമാറ്റത്തിനുശേഷം വരുന്ന നിരസിക്കൽ നയത്തിന്റെ ഉത്തരമാണ്, ഗതാഗത പരാജയമല്ല. അതിനെ നെറ്റ്വർക്ക് പ്രശ്നമായി വായിച്ചാൽ തെറ്റായ സ്ഥലത്ത് നിങ്ങൾ അന്വേഷിക്കും.

ഡീബഗ് ചെയ്യുമ്പോൾ രഹസ്യം പാക്കറ്റ് ക്യാപ്ചറുകൾ, ടിക്കറ്റുകൾ, ട്രാൻസ്ക്രിപ്റ്റുകൾ എന്നിവയ്ക്ക് പുറത്ത് സൂക്ഷിക്കുക, സെർവർ രേഖപ്പെടുത്തുന്ന സ്രോതസ്സ് വിലാസമാണ് നിങ്ങളുടെ രൂപകൽപ്പന വിശദീകരിക്കേണ്ടത് എന്ന് ഓർക്കുക.

നിങ്ങളെത്തന്നെ പുറത്ത് പൂട്ടിയിടാതെ മാറ്റം വരുത്തുക

ദൂരെയുള്ള അഡ്മിനിസ്ട്രേറ്റീവ് പ്രാമാണീകരണം മാറ്റുമ്പോൾ കൺസോളോ സ്വതന്ത്ര മാനേജ്മെന്റ് പാതയോ ഉപയോഗിക്കുക, പുതിയ പാത യഥാർത്ഥ ലോഗിൻ കൈകാര്യം ചെയ്യുന്നതുവരെ അംഗീകൃത പ്രാദേശിക ബദൽ സൂക്ഷിക്കുക. തുടർന്ന് ഇടുങ്ങിയതായി സാധൂകരിക്കുക: ഒരു സെർവർ, ഒരു ഉപകരണം, രണ്ട് അറ്റത്തും നിരീക്ഷിച്ച സ്രോതസ്സ് വിലാസത്തോടെയുള്ള ഒരു വിജയകരമായ പ്രാമാണീകരണം.

ഒഴുക്ക് അതിന്റെ സ്വന്തം പേജിൽ രേഖപ്പെടുത്തുക: ഉത്ഭവ ഇന്റർഫേസും വിലാസവും, ദൂരെയുള്ള സെർവർ, സംരക്ഷിത പാത, അധികാര നയത്തിന്റെ ഉടമയായ വ്യക്തി. അപ്പോൾ പിന്നീടുള്ള ഇന്റർഫേസ് അല്ലെങ്കിൽ ടണൽ മാറ്റം രണ്ട് ഒഴുക്കുകളിൽ ഏതിനെ ബാധിക്കുന്നു എന്ന് ഊഹിക്കാതെ വിലയിരുത്താം.