VPN സബ്‌നെറ്റിന് ASA ഇന്റർഫേസിന്റെ സുരക്ഷാ നില ലഭിക്കുമോ?

ബ്രാഞ്ചിന്റെ VPN സബ്‌നെറ്റിന് ASA-യിൽ «സുരക്ഷാ നില 0 അല്ലെങ്കിൽ 100» ഉണ്ടോ എന്ന് ആരോ ചോദിക്കുന്നു, ചോദ്യത്തിൽ ഇതിനകം തന്നെ തെറ്റുണ്ട്. സുരക്ഷാ നില ഒരു ലോക്കൽ ഇന്റർഫേസിന്റെ സ്വഭാവമാണ്, ഇന്റർഫേസ് കോൺഫിഗറേഷനിൽ 0 മുതൽ 100 വരെ നൽകുന്നു. ടണലിലൂടെ വരുന്ന ഒരു റിമോട്ട് സബ്‌നെറ്റിന് ഒരു നിലയും ലഭിക്കുന്നില്ല, crypto map എങ്ങനെ എഴുതിയാലും. അതുകൊണ്ട് ചോദ്യത്തിന് സംഖ്യാപരമായ ഉത്തരമില്ല.

പ്രായോഗികമായ അടുത്ത ചോദ്യം മികച്ചതാണ്: ഏത് നയമാണ് ബ്രാഞ്ചിനെ സർവറിലേക്ക് അനുവദിക്കുന്നത്, ഏതാണ് അതിനെ ഫയർവാളിൽ നിന്ന് തന്നെ അകറ്റി നിർത്തുന്നത്. അവ രണ്ട് ഉത്തരങ്ങളാണ്, താഴെയുള്ള നടപടിക്രമം അവയെ വേർതിരിക്കുന്നു.

സുരക്ഷാ നിലകൾ ഇന്റർഫേസുകളുടേതാണ്

show running-config interface പ്രവർത്തിപ്പിക്കുക, ഓരോ ഫിസിക്കൽ ഇന്റർഫേസിനും VLAN ഇന്റർഫേസിനും കീഴിൽ security-level കാണാം, ടണൽ ഗ്രൂപ്പിനോ crypto map-നോ കീഴിലല്ല. ഉയർന്നതിൽ നിന്ന് താഴ്ന്നതിലേക്കുള്ള ഡിഫോൾട്ട് അനുമതി ആ ഇന്റർഫേസുകൾക്കിടയിൽ വിലയിരുത്തുന്നു, അതിനാൽ സംഖ്യ അതിന്റേതായ പാതയിൽ ഇൻസ്പെക്ഷന്റെയും സൂചിത ACL-ന്റെയും പെരുമാറ്റം മാറ്റുന്നു.

ഡീക്രിപ്റ്റ് ചെയ്ത VPN ഫ്ലോയിൽ പ്രവേശനം ഇപ്പോഴും ടണൽ അവസാനിക്കുന്ന outside ഇന്റർഫേസാണ്, പുറത്തേക്കുള്ളത് സർവറിലേക്കുള്ള inside ഇന്റർഫേസാണ്. എന്തെങ്കിലും തൊടുന്നതിന് മുമ്പ് രണ്ടും എഴുതിവയ്ക്കുക. ആ ഒരു ഘട്ടം മിക്ക ആശയക്കുഴപ്പവും ഇല്ലാതാക്കുന്നു, കാരണം അമൂർത്തമായ ഒരു വിശ്വാസചോദ്യത്തെ ഇന്റർഫേസ് ജോടിയാക്കി മാറ്റുന്നു.

ACL ഒഴിവാക്കലിന് ഒരു പേരുള്ള അതിർത്തിയുണ്ട്

VPN ട്രാഫിക് ACL-കളെ അവഗണിക്കുന്നു എന്ന് പറയുമ്പോൾ ആളുകൾ പകുതി ഓർക്കുന്ന ക്രമീകരണമാണ് sysopt connection permit-vpn. VPN ട്രാഫിക് എന്ന് യോഗ്യത നേടുന്ന ട്രാഫിക്കിന് അത് ഇന്റർഫേസ് ACL ഒഴിവാക്കുന്നു, 9.x പാരാമീറ്റർ ഗൈഡ് ആഗോള ഒഴിവാക്കൽ പ്രഖ്യാപിക്കുന്നതിന് പകരം ഇന്റർഫേസും ദിശയും അനുസരിച്ച് പരിമിതപ്പെടുത്തുന്നു.

ഓർമ്മയിൽ നിന്ന് യുക്തി പറയുന്നതിന് മുമ്പ് എന്താണ് കോൺഫിഗർ ചെയ്തിരിക്കുന്നതെന്ന് പരിശോധിക്കുക:

• show running-config all sysopt യഥാർത്ഥ മൂല്യം കാണാൻ, ഡിഫോൾട്ട് അല്ലാത്ത വരികൾ മാത്രമല്ല.
• show running-config access-group ഏത് ACL ഏത് ഇന്റർഫേസിലേക്കും ദിശയിലേക്കും പ്രയോഗിച്ചിരിക്കുന്നു എന്ന് കാണാൻ.
• show vpn-sessiondb detail l2l സെഷൻ യഥാർത്ഥത്തിൽ ഏത് ടണൽ ഗ്രൂപ്പും ഫിൽട്ടറും ഉപയോഗിക്കുന്നു എന്ന് ഉറപ്പാക്കാൻ.

VPN ആക്‌സസ് കർശനമാക്കാൻ ആ ക്രമീകരണം ഓഫ് ചെയ്യുന്നത് വലിയ സ്വാധീനമുള്ള മാറ്റമാണ്. അത് യോഗ്യതയുള്ള ഓരോ VPN ഫ്ലോയെയും വീണ്ടും പുറത്തെ ACL-ന് വിധേയമാക്കുന്നു, ഇത് സാധാരണയായി പ്രവർത്തിക്കുന്ന ടണലുകളെ നിങ്ങളോട് ചോദിച്ച ബ്രാഞ്ചുമായി ബന്ധമില്ലാത്ത രീതിയിൽ തകർക്കുന്നു.

സെഷനോട് ബന്ധിപ്പിച്ച ഫിൽട്ടർ വായിക്കുക

ടണലിന് യഥാർത്ഥ നിയന്ത്രണം VPN ഫിൽട്ടറാണ്: ഗ്രൂപ്പ് നയമോ ഉപയോക്തൃനാമമോ റഫർ ചെയ്യുന്ന ACL, ഡീക്രിപ്ഷന് ശേഷവും എൻക്രിപ്ഷന് മുമ്പും പ്രയോഗിക്കുന്നു. ഉപയോക്തൃതല ഫിൽട്ടർ ഗ്രൂപ്പ്‌തല മൂല്യത്തെ മറികടക്കുന്നു, അതിനാൽ ഒരേ ടണൽ ഗ്രൂപ്പിലെ രണ്ട് പേർക്ക് വ്യത്യസ്ത ഫലപ്രദമായ ആക്‌സസ് ഉണ്ടാകാം.

മുൻഗണന അനുമാനിക്കുന്നതിന് പകരം സ്ഥിരീകരിക്കുക. show running-config group-policy <name> ഗ്രൂപ്പ് മൂല്യം കാണിക്കുന്നു, show running-config username <name> ഉപയോക്താവിന് മൂല്യമുണ്ടോ എന്ന് കാണിക്കുന്നു. രണ്ടും ഉണ്ടെങ്കിൽ ഉപയോക്തൃമൂല്യം വിജയിക്കുന്നു. തുടർന്ന് ആ ACL-ന്റെ എൻട്രികൾ നിങ്ങൾക്ക് പ്രധാനമായ ഫ്ലോയുമായി, ഫിൽട്ടർ വിലയിരുത്തുന്ന ദിശയിൽ താരതമ്യം ചെയ്യുക.

ആപ്ലിക്കേഷൻ സർവറിനെ അനുവദിക്കുന്ന ഫിൽട്ടർ മാനേജ്‌മെന്റിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. അവ വേറെ പാതയിലെ വേറെ നിയമങ്ങളാണ്.

ഒരു അനുമതിയും ഒരു നിരസനവും പരിശോധിക്കുക

ഉപയോക്താവ് റിപ്പോർട്ട് ചെയ്യുന്നത് കാത്തുനിൽക്കാതെ തീരുമാനം കാണാനുള്ള ഏറ്റവും വേഗതയുള്ള മാർഗം Packet-tracer ആണ്. ഡീക്രിപ്റ്റ് ഭാഗത്തെ ഫ്ലോ നൽകി അത് കടന്നുപോകുന്ന ACL, NAT, ഇൻസ്പെക്ഷൻ ഘട്ടങ്ങൾ പേരെടുത്ത് പറയാൻ അനുവദിക്കുക.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. ഫലത്തിന്റെ വരി വായിക്കുക: പാക്കറ്റ് അനുവദിച്ചതോ ഉപേക്ഷിച്ചതോ ആയ ACL അത് പേരെടുത്ത് പറയുന്നു.
3. inside ഇന്റർഫേസിൽ മാനേജ്‌മെന്റ് ലക്ഷ്യവുമായി ആവർത്തിക്കുക, ഒരു നിരസനം സ്ഥിരീകരിക്കുക.
4. ഏതെങ്കിലും മാറ്റത്തിന് ശേഷം ഒരു തവണ കൂടി ആവർത്തിക്കുക, മുൻപും ശേഷവുമുള്ള അവസ്ഥകൾ രണ്ടും രേഖപ്പെടുത്താൻ.

തുടർന്ന് യഥാർത്ഥ ട്രാഫിക് ഉപയോഗിച്ച് പരിശോധിക്കുക: ബ്രാഞ്ചിൽ നിന്ന് ഒരു വിജയകരമായ ആപ്ലിക്കേഷൻ അഭ്യർത്ഥനയും ASA-യിലേക്ക് ഒരു പരാജയപ്പെട്ട SSH ശ്രമവും. Packet-tracer പാത മാതൃകയാക്കുന്നു; ജീവനുള്ള ഫ്ലോ മാതൃക യോജിച്ചു എന്ന് തെളിയിക്കുന്നു.

അത് പ്രവർത്തിപ്പിച്ച മാറ്റം പിൻവലിക്കുക

പരിഹാരം ACL ഒഴിവാക്കൽ ഓഫ് ചെയ്യുകയോ ഫിൽട്ടർ വിശാലമാക്കുകയോ ആയിരുന്നെങ്കിൽ മുൻ കോൺഫിഗറേഷൻ സൂക്ഷിക്കുക. മാറ്റത്തിന് മുമ്പ് സേവ് ചെയ്ത ബാധിത വസ്തുക്കളുടെ show run ക്യാപ്‌ചർ അവ പുനഃസ്ഥാപിക്കാൻ മതിയാകും; ASA കോൺഫിഗറേഷൻ വരിരൂപത്തിലാണ്, അതിനാൽ പിൻവലിക്കൽ എന്നത് പഴയ വരികൾ വീണ്ടും നൽകുന്നതാണ്, ഫയൽ പുനഃസ്ഥാപിക്കലല്ല.

ഇന്റർഫേസ് ജോടി, ഫലപ്രദമായ ഫിൽട്ടർ, packet-tracer-ൽ നിന്നുള്ള ACL നാമം, നിങ്ങൾ മാറ്റിയ കൃത്യമായ കമാൻഡുകൾ എന്നിവ രേഖപ്പെടുത്തുക. ആ രേഖ അടുത്ത അവലോകനത്തെ വിശ്വാസനിലകളെക്കുറിച്ചുള്ള മറ്റൊരു ചർച്ചയ്ക്ക് പകരം അഞ്ച് മിനിറ്റ് പരിശോധനയാക്കി മാറ്റുന്നു.