സൈറ്റ് VPN പ്രവർത്തിക്കുന്നു, പക്ഷേ ASA ലോഗുകൾ വരുന്നില്ല: ഉറവിട വിലാസം പരിശോധിക്കുക

ഉള്ളിലെ ഹോസ്റ്റുകൾ ദൂരസ്ഥ സംഭരണിയിൽ എത്തുന്നു, അവയുടെ syslog വരികൾ പ്രത്യക്ഷപ്പെടുന്നു. അതേ സെഷനുകളെക്കുറിച്ചുള്ള ASA യുടെ സ്വന്തം സന്ദേശങ്ങൾ ഒരിക്കലും എത്തുന്നില്ല. സംഭരണിയിലോ ടണലിലോ ഒരു പ്രശ്നവുമില്ല, അതാണ് ആശയക്കുഴപ്പമുള്ള ഭാഗം. ടണൽ ഒരിക്കലും സംരക്ഷിക്കാൻ നിർമ്മിക്കാത്ത ഒരു ഉറവിടത്തിൽ നിന്നാണ് ഫയർവാൾ അതിന്റെ ലോഗുകൾ അയക്കുന്നത്.

എന്ത് വരുന്നു, എന്ത് വരുന്നില്ല

ഡാഷ്ബോർഡിൽ ഒരുപോലെ കാണപ്പെടുന്ന രണ്ട് പ്രവാഹങ്ങൾ വേർതിരിച്ചുകൊണ്ട് തുടങ്ങുക. ഫോർവേഡ് ചെയ്ത ട്രാഫിക് ASA വഴി കടന്നുപോകുന്നു: ഒരു LAN ഹോസ്റ്റ് സംഭരണിയിലേക്ക് അയക്കുന്നു, ASA അതിനെ ടണൽ നയവുമായി ഒത്തുനോക്കുന്നു, എൻക്രിപ്റ്റ് ചെയ്യുന്നു, സംഭരണി ഹോസ്റ്റിന്റെ വിലാസം കാണുന്നു. സൃഷ്ടിക്കപ്പെടുന്ന ട്രാഫിക് ASA യിൽ തന്നെ ആരംഭിക്കുന്നു: ഉപകരണം ഒരു syslog പാക്കറ്റ് നിർമ്മിക്കുന്നു, ഒരു ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസും ഉറവിടവും തിരഞ്ഞെടുക്കുന്നു, അതിനുശേഷം മാത്രം ഏതെങ്കിലും ടണൽ നയം ഒത്തുപോകുന്നുണ്ടോ എന്ന് ചോദിക്കുന്നു. ആദ്യ പ്രവാഹം ടണൽ പ്രവർത്തിക്കുന്നുവെന്ന് തെളിയിക്കുന്നു, രണ്ടാമത്തേതിനെക്കുറിച്ച് ഒന്നും പറയുന്നുമില്ല.

ഉപകരണത്തിൽ ബഫർ ചെയ്ത ഒരു സംഭവവും ദൂരസ്ഥ ഡെലിവറിയുടെ തെളിവല്ല, കാരണം ലോഗ് പ്രാദേശികമായി നിലനിൽക്കാം, ഒരിക്കലും അയച്ചിട്ടുണ്ടാകണമെന്നില്ല. ടണലിനെ കുറ്റപ്പെടുത്തുന്നതിന് മുമ്പ് സംഭരണിയുടെ സ്വീകരണ കൗണ്ടറുകൾ പരിശോധിക്കുക, കാരണം ശൂന്യമായ കൗണ്ടർ വളരുന്ന ഒന്നിൽ നിന്ന് വ്യത്യസ്തമായ കണ്ടെത്തലാണ്.

സൃഷ്ടിക്കപ്പെടുന്ന സന്ദേശം ഫോർവേഡ് ചെയ്ത ട്രാഫിക് അല്ല

ASA സ്വയം ഒരു പാക്കറ്റ് സൃഷ്ടിക്കുമ്പോൾ, അത് ഒരു LAN ഹോസ്റ്റിന്റെ പ്രോക്സിയല്ല. ഉറവിടം ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസിൽ നിന്നോ വ്യക്തമായ ഉറവിട ക്രമീകരണത്തിൽ നിന്നോ വരുന്നു, പാക്കറ്റ് ഉപകരണം അയക്കുന്ന മറ്റെല്ലാത്തിനെയും പോലെ അതേ റൂട്ട് അന്വേഷണത്തിലും നയ പരിശോധനകളിലും പ്രവേശിക്കുന്നു. അതായത് VPN സെലക്ടർ ASA യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന വിലാസം ഉൾക്കൊള്ളണം, അത് പലപ്പോഴും അതിന്റെ പുറം ഇന്റർഫേസാണ്, ആന്തരിക സബ്നെറ്റല്ല.

നയം 10.20.0.0/24 സംരക്ഷിക്കുന്നുവെങ്കിൽ, ASA അതിന്റെ പുറം വിലാസം ഉറവിടമായി ഉപയോഗിക്കുന്നുവെങ്കിൽ, ലോഗ് പാക്കറ്റ് എത്തിച്ചേരാൻ കഴിയാത്ത ഒരു സംഭരണിയിലേക്ക് വ്യക്തമായ പാഠത്തിൽ പുറത്തുപോകുന്നു, അല്ലെങ്കിൽ ഉപേക്ഷിക്കപ്പെടുന്നു. സംഭരണിയുടെ ഭാഗത്തുനിന്ന് രണ്ട് ഫലങ്ങളും ഒരുപോലെ കാണപ്പെടുന്നു. അതേ യുക്തി മാനേജ്മെന്റ് ട്രാഫിക്കിനും ബാധകമാണ്, അതുകൊണ്ടാണ് management-access വേറിട്ട രൂപകൽപ്പന തീരുമാനമാകുന്നത്.

ASA നെറ്റ്വർക്കിൽ ഏത് ഉറവിടം വയ്ക്കുന്നു

ഉറവിടം അനുമാനത്തിലൂടെയല്ല, പരീക്ഷണത്തിലൂടെ കണ്ടെത്തുക. പരീക്ഷണ സന്ദേശത്തിനിടയിൽ ഔട്ട്ഗോയിംഗ് ഇന്റർഫേസിൽ എടുക്കുന്ന ക്യാപ്ചർ യഥാർത്ഥ ഉറവിടവും ലക്ഷ്യവും കാണിക്കുന്നു, കോൺഫിഗറേഷന്റെ മൂന്ന് വിഭാഗങ്ങൾ വായിക്കുന്നതിനേക്കാൾ കുറഞ്ഞ സമയമേ ഇതിന് വേണ്ടിവരുന്നുള്ളൂ. ആ വിലാസം ടണലിന്റെ പ്രാദേശിക സെലക്ടറുമായി താരതമ്യം ചെയ്യുക.

ചില റിലീസുകൾ ലോഗിംഗ് ഉറവിടം ഒരു ഇന്റർഫേസിൽ പിൻ ചെയ്യാൻ അനുവദിക്കുന്നു, നിങ്ങളുടെ പതിപ്പിനുള്ള കമാൻഡ് റഫറൻസാണ് ആ ഓപ്ഷൻ ഉണ്ടോ എന്നതിനും അത് എന്ത് മാറ്റുന്നു എന്നതിനും അധികാരം. മറ്റൊരു Cisco പ്ലാറ്റ്ഫോമിലെ source-interface കമാൻഡ് ASA യിൽ സ്വയമേവ സാധുവല്ല.

ഉറവിടം മാറ്റുകയാണെങ്കിൽ, മനഃപൂർവ്വം മാറ്റി രേഖപ്പെടുത്തുക, കാരണം സംഭരണിയുടെ ACL-കളും syslog അടിസ്ഥാനമാക്കിയുള്ള ഏത് ബന്ധവും അതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

സെലക്ടറെ ലോഗ് പ്രവാഹവുമായി ഒത്തുനോക്കുക

ഉറവിടം അറിഞ്ഞുകഴിഞ്ഞാൽ മൂന്ന് കാര്യങ്ങൾ ക്രമത്തിൽ പരിശോധിക്കുക: ഏത് ട്രാഫിക് ആണ് താൽപ്പര്യമുള്ളതെന്ന് തീരുമാനിക്കുന്ന ക്രിപ്റ്റോ ACL അല്ലെങ്കിൽ നയാധിഷ്ഠിത സെലക്ടർ, പാക്കറ്റ് എവിടെ പോകുന്നുവെന്ന് തീരുമാനിക്കുന്ന റൂട്ട്, എൻക്രിപ്ഷന് മുമ്പ് ഉറവിടം വീണ്ടും എഴുതാവുന്ന ഏത് NAT നിയമവും. റൂട്ടുമായി ഒത്തുപോകുന്നുവെങ്കിലും സെലക്ടറുമായി ഒത്തുപോകാത്ത പാക്കറ്റ് ടണൽ ചെയ്യപ്പെടുന്നില്ല, NAT വീണ്ടും എഴുതിയ പാക്കറ്റ് രണ്ടിലും ഒത്തുപോകണമെന്നില്ല.

സംഭരണിയുടെ ഭാഗത്തിന് സ്വന്തം ആവശ്യകതകളുണ്ട്: ASA യുടെ ഉറവിടം അനുവദിക്കുന്ന ഒരു ACL, ഒരു മടക്ക റൂട്ട്, നിങ്ങൾ കോൺഫിഗർ ചെയ്ത പോർട്ടിൽ കേൾക്കുന്ന ഒരു സേവനം. ഗതാഗതവും ഇവിടെ പ്രധാനമാണ്, കാരണം ഭാഗികമായി തടയപ്പെട്ട പാതയിൽ TCP, TLS ലോഗിംഗ് UDP-യിൽ നിന്ന് വ്യത്യസ്തമായി പെരുമാറുന്നു. ഒരു സമയം ഒരു ഘടകം മാറ്റുക, അല്ലെങ്കിൽ അടുത്ത ക്യാപ്ചർ ഏത് മാറ്റമാണ് പ്രധാനമായിരുന്നതെന്ന് പറയില്ല.

സംഭരണിയിൽ സ്ഥിരീകരിച്ചതിനുശേഷം ഉറവിടം രേഖപ്പെടുത്തുക

സന്ദേശം എത്തുന്നുവെന്ന് ഉറപ്പാക്കുക, തുടർന്ന് ASA ഉപയോഗിച്ച ഉറവിട വിലാസം, അത് വഹിച്ച സെലക്ടർ, നിങ്ങൾ പരീക്ഷിച്ച തീവ്രത എന്നിവ എഴുതുക.

ആ രേഖ അടുത്ത സംഭരണി ACL മാറ്റത്തെയോ സെലക്ടർ എഡിറ്റിംഗിനെയോ വീണ്ടും കണ്ടെത്തുന്നതിനു പകരം രണ്ട് മിനിറ്റ് പരിശോധനയാക്കി മാറ്റുന്നു. രണ്ട് പ്രവാഹങ്ങളിൽ ഏതാണ് ഒരിക്കലെങ്കിലും സ്ഥിരീകരിച്ചതെന്നും അത് രേഖപ്പെടുത്തുന്നു, മിക്ക റൺബുക്കുകളും വിട്ടുകളയുന്ന ഭാഗം അതാണ്. സന്ദേശം ഇപ്പോഴും എത്തുന്നില്ലെങ്കിൽ തീവ്രത പരിധി താൽക്കാലികമായി കുറയ്ക്കുക, ഒരു ലക്ഷ്യത്തിനെതിരെ പരീക്ഷിക്കുക.

Cisco യുടെ ASA ലോഗിംഗിനെക്കുറിച്ചുള്ള പതിവ് ചോദ്യങ്ങൾ പുറം ഉറവിടമുള്ള ഒരു കേസ് രേഖപ്പെടുത്തുന്നു, അതിന് അനുബന്ധ സംരക്ഷിത ട്രാഫിക് നിർവചനം ആവശ്യമാണ്, അവയുടെ ഉള്ളിലെ ഉറവിടത്തിന്റെ ഉദാഹരണത്തിൽ ഉള്ളിൽ ഒരു ലോഗിംഗ് ഹോസ്റ്റും ഉള്ളിൽ management-access-ഉം ഉൾപ്പെടുന്നു. രേഖപ്പെടുത്തിയ സംയോജനവും സോഫ്റ്റ്വെയർ സന്ദർഭവും ഒരുമിച്ച് കാണുക, പകർത്തിയ ഒരു വരി എല്ലാ കോൺഫിഗറേഷനുകൾക്കും യോജിക്കുമെന്ന് അനുമാനിക്കരുത്.

LAN ട്രാഫിക് വഹിക്കുന്ന ടണൽ ഫയർവാളിന്റെ സ്വന്തം ശബ്ദം വഹിക്കുന്ന ടണലല്ല.