VPN-ээр тайлагдсаны дараа аль ASA дүрэм трафикийг хардаг вэ

Хамгийн түрүүнд орхих ёстой таамаг бол крипто ACL нь хандалтын бодлого гэсэн ойлголт юм. Тийм биш. Cisco ASA дээр тэр жагсаалт нэг нарийн асуултад хариулдаг: ямар пакетууд хамгаалалт хүртэх ёстой вэ, тэгээд тэр хариулт тайлагдсан пакет галт ханын ард байгаа серверт хүрч чадах эсэхийг огт хэлэхгүй. Хандалтыг дараа нь интерфейсийн бодлого, бүлгийн бодлогын шүүлтүүр эсвэл хоёулаар нь, туннель хэрхэн бүтсэнээс хамаарч шийддэг.

Крипто ACL өөр асуултад хариулдаг

Крипто ACL бол тохирлын жагсаалт. Энэ нь туннельд хоёр талын хооронд юуг шифрлэхийг хэлдэг; түүнтэй тохирохгүй пакет зүгээр л хамгаалагдахгүй. Үүнийг өргөтгөх нь хамгаалалтын хүрээг өөрчилдөг, өөр юу ч биш.

Тиймээс тийш дэд сүлжээ нэмэх нь туннелийг босгож болох ч бодит апп ажиллахгүй хэвээр байна. Туннель боссон нь одоо тохирол бий болсонтой холбоотой. Апп ажиллахгүй байгаа нь тэр жагсаалтад юу ч юунд ч зөвшөөрөл өгөхгүй байгаатай холбоотой. Хоёр өөр асуулт, хоёр өөр жагсаалт.

Тойрч гарах тохиргоо үнэхээр юуг алгасдаг вэ

sysopt connection permit-vpn хамгаалагдсан трафикт орж ирэх талд өөрөөр хүчинтэй байх интерфейсийн ACL шалгалтыг алгасах боломж олгодог. Энэ нь VPN байршуулалтад зориулсан тав тух бөгөөд глобал юм. Энэ нь бүлгийн бодлогод хүрэхгүй, мөн хэрэглэгч тус бүрийн эрх олголтын шүүлтүүрт хүрэхгүй.

Таамаглал биш бодит утгыг уншина уу: show running-config all sysopt тохиргоог хэзээ ч тодорхой тохируулаагүй байсан ч хэвлэдэг бөгөөд олон будлиан яг эндээс эхэлдэг.

Тохиргоо глобал тул алдаа гарч буй нэг дэд сүлжээнд хурдан туршилт хэлбэрээр шалгах нь муу солилцоо юм. Тэр галт ханын бусад бүх туннель үр дүнг хуваалцдаг. Үүнийг буцаах төлөвлөгөөтэй санаатай өөрчлөлтөд хадгал.

Шүүлтүүрийг тайлах чиглэлд уншина уу

LAN-to-LAN vpn-filter интерфейсийн биш, туннелийн өнцгөөс бичигддэг. Алслагдсан сүлжээ эх сурвалжийн байрлалд, локал сүлжээ очих газрын байрлалд ордог, учир нь тайлагдсаны дараа пакет ийм харагддаг. Дараа нь мөн тэр шүүлтүүр шифрлэлтийн өмнө эсрэг чиглэлд дахин үнэлэгдэж, хаягуудын үүрэг эргэдэг.

Портын нөхцөл нь хуулсан интерфейсийн ACL-ээс илүү анхаарал шаарддаг, яг энэ шалтгаанаар. Нэг очих портыг зөвшөөрдөг дүрэм эсрэг чиглэлд санамсаргүй нөлөө үзүүлж болно, тэнд шинэ холболт тэр портыг эх сурвалж болгон ашигладаг. Жагсаалт барихаас өмнө аль тал эхэлж болох, бодит үйлчилгээ юу вэ, аль эсрэг тал хаалттай байх ёстойг бичиж аваарай.

Ямар шүүлтүүр үнэхээр хавсаргагдсаныг баталгаажуул: show running-config group-policy ба show vpn-sessiondb detail l2l хамтдаа сесс юуг өвлөснийг хэлнэ. Ямар ч бодлого дурдаагүй ACL-ийг засах нь юу ч өөрчлөхгүй.

Нэг ACL объектыг хоёр ажилд дахин бүү ашигла

Интерфейсийн access-group ба vpn-filter нэг төрлийн объект мэт харагдах боловч өөр цэгт өөр хаягийн чиглэлтэйгээр үнэлэгддэг. Нэг жагсаалтыг хоёуланд нь өгөх нь туннелийг засаж, физик интерфейсийг чимээгүй сулруулах өөрчлөлтийг уриалдаг.

Тэдгээрийг тусдаа байлга, ажлынх нь дагуу нэрлэ, чиглэлийн ялгаа нэрнээс харагдах болтугай.

Шинэ холболтоор, хоёр чиглэлд баталгаажуул

Төлөвлөсөн өөрчлөлтийн дараа зөвшөөрөгдөх ёстой нэг шинэ холболт, татгалзах ёстой нэг шинэ холболтыг нээж, дараа нь хаяг, чиглэл, бодлогын тохирлыг үр дүнтэй хамт бичиж аваарай. Тогтсон сесс шинэ холболтын шүүлтүүрийн талаар юу ч нотлохгүй, учир нь тэр хуучин дүрмээр аль хэдийн нэвтрээд орсон.

Шалгалтыг ч тооцоол. Үйлдвэрлэгчийн баримт бичигт VPN шүүлтүүр нь шалгалтын хөдөлгүүр нээдэг хоёрдогч холболт бүрийг биш, эхний холболтыг шалгадаг гэж тэмдэглэсэн тул хяналтын суваг ба түүнтэй холбоотой медиа урсгал өөр хандлага авч болно. Апп протоколыг мэддэг бол нэг портын пробын оронд бодит урсгыг туршиж үзээрэй.

Өргөн тойрч гарсны дараа ашиглах боломжтой болсон туннель нь хязгаарлалт арилсныг хэлнэ, биелснийг биш. Хадгалах үнэ цэнэтэй үр дүн бол дараагийн хяналтад зааж өгч болох нэрлэсэн хэрэгжүүлэх цэг юм.