ASA-ийн TACACS+ хүсэлтүүд таны салбарын VPN туннелийг тойрч гардаг шалтгаан

Салбарын туннель ажиллаж байна, хэрэглэгчид алсын TACACS+ серверт баталгаажуулалт хийж байна, гэвч firewall-ийн өөрийн нэвтрэлт хугацаа дуусаж байна. Шалтгаан нь туннелийн алдаа биш: LAN-to-LAN туннель селекторуудтайгаа тохирох трафикийг дамжуулдаг бөгөөд ASA өөрийн тухай үүсгэдэг удирдлагын трафик нь өөрийн эх сурвалжийн хаягтай тусдаа урсгал юм. Ихэнх багууд үүнийг өөрчлөлтийн цонхны үеэр, цорын ганц администраторын бүртгэл нь бүтэлгүйтэж байгаа үед илрүүлдэг. ASA-ийн эхлүүлсэн AAA сессийг таны зохион бүтээх ёстой урсгал гэж үзээрэй, аль хэдийн ажиллаж байгаа холболтын гаж нөлөө гэж биш.

ASA нь өөрөө клиент бөгөөд өөрийн трафикт өөрийн зам хэрэгтэй

Firewall TACACS+ сервертэй холбогдох үед firewall нь бусад клиенттэй адил, зөвхөн хэн ч түүнд санаатайгаар маршрут тохируулаагүй. Түүний пакетууд төхөөрөмж дээрх интерфейсийн хаягаас үүсдэг, тэдгээр нь дамжуулагдахгүй, локалаар үүсдэг бөгөөд хэрэглэгчийн трафик шиг л маршрутлах, хөрвүүлэх, бодлогоор хамгаалах шаардлагатай. Хэрэглэгчийн дэд сүлжээг хамгаалдаг сайт хоорондын туннель тэр удирдлагын эх сурвалжийг автоматаар хамгаалдаггүй, учир нь трафикийн сонголт нь хаяг дээр суурилдаг, зорилго дээр биш.

Сервер харах гэж таны хүлээж буй хаягийг бичээрэй. Хэрэв нэг мөрөнд хэлж чадахгүй бол танд одоохондоо зохион бүтээл байхгүй.

aaa-server мөрийн интерфейс нь чимэглэл биш

ASA дээр aaa-server хост бичлэг хаалт дотор интерфейсийн холбоог авдаг бөгөөд Cisco-гийн AAA хостын командын лавлагаа үүнийг баталгаажуулалтын сервер байрлах интерфейс гэж тайлбарладаг. Яг тэр холбоо нь хүсэлтийг интерфейс болон тухайн интерфейсийн хэрэгжүүлдэг бодлоготой холбодог. Үүнийг интернэт рүү харсан аль ч интерфейсээр сонгох, эсвэл сүүлийн шилжилтээс үлдсэнийг үлдээх нь алсын сервер болон туннелийг хэзээ ч бариагүй эх сурвалжийн хаяг үүсгэдэг.

inside нь зөвхөн нэрлэсэн интерфейс таны зохион бүтээл эх сурвалж болгон ашиглах гэж буй хаягийг агуулж байгаа үед зөв хариулт болно. Салбарын төхөөрөмж дээр энэ нь ихэвчлэн тийм байдаг; хэд хэдэн хувийн сегменттэй төхөөрөмж дээр тийм биш байж болно.

Холбоог өөрчлөх нь бичлэгийг дахин үүсгэх гэсэн үг

Мөн энэ командын лавлагаа шилжилтийн үеэр хүмүүсийг баридаг засварын хязгаарлалтыг баримтжуулдаг: одоо байгаа хост дээр интерфейсийг өөрчлөхөд хост бичлэгийг устгаж, дахин үүсгэх шаардлагатай. Зассан мэт харагдах тохиргоо хүчин төгөлдөр болоогүй байж болох бөгөөд дараагийн нэвтрэх оролдлого хуучин хаягаас гарсаар байна. Үүнийг газар дээрх засвар гэж биш, анхны бичлэгийн хуулбарыг өмнөө тавьж устгах ба нэмэх ажиллагаа гэж төлөвлөөрэй.

Хэд хэдэн сервер тодорхойлогдсон бол нэгийг өөрчилж, бусад руу хүрэхээс өмнө туршиж үзээрэй, ингэснээр нэг алдаа бүх админ замыг нэгэн зэрэг түгжихгүй.

Селектор, хөрвүүлэлт, буцах замыг хамт шалгаарай

Хүсэлт хүрэхийн тулд гурван зүйл тохирох ёстой. Туннелийн трафикийн селекторууд, эсвэл туннелийн интерфейсийн хамгаалалт ашиглаж байгаа бол тэр нь ASA-ийн өөрийн эх сурвалж болон серверийн хаягийг агуулсан байх ёстой; хэрэглэгчийн дэд сүлжээнд зориулж барьсан селекторын жагсаалт ихэвчлэн үүнийг хийхгүй. Зам дээрх аливаа NAT дүрэм тэр эх сурвалжийг тогтмол хөрвүүлэх ёстой, учир нь сервер өөрийн харж буй хаягийг агуулсан сүлжээний төхөөрөмжийн таних тэмдгийг зөвшөөрдөг. Мөн буцах зам байх ёстой бөгөөд бодлогод суурилсан туннельд энэ нь алсын тал эсрэг чиглэлд тохирох селектортой гэсэн үг.

Серверийн талд төхөөрөмжийн таних тэмдэг, хуваалцсан нууц, админ бодлогыг тус тусад нь баталгаажуулаарай. TACACS+ нь баталгаажуулалт, зөвшөөрөл, нягтлан бодох бүртгэлийг тусдаа үйлдэл гэж хадгалдаг тул дууссан солилцооны дараа ирэх татгалзал нь бодлогын хариулт бөгөөд тээврийн доголдол биш. Үүнийг сүлжээний асуудал гэж унших нь таныг буруу газар хайхад хүргэнэ.

Дибаг хийх үед нууцыг пакетын бичлэг, тасалбар, транскриптээс гадуур байлгаж, серверийн бүртгэдэг эх сурвалжийн хаяг нь таны зохион бүтээлийн тайлбарлах ёстой хаяг гэдгийг санаарай.

Өөрийгөө түгжихгүйгээр өөрчлөлтийг хийгээрэй

Алсын админ баталгаажуулалтыг өөрчлөхдөө консол эсвэл бие даасан удирдлагын зам ашиглаж, шинэ зам бодит нэвтрэлт дамжуулах хүртэл зөвшөөрөгдсөн локал нөөц хувилбарыг хадгалаарай. Дараа нь нарийн баталгаажуулаарай: нэг сервер, нэг төхөөрөмж, хоёр төгсгөлд ажиглагдсан эх сурвалжийн хаягтай нэг амжилттай баталгаажуулалт.

Урсгалыг өөрийн хуудсанд тэмдэглээрэй: үүсэх интерфейс ба хаяг, алсын сервер, хамгаалагдсан зам, зөвшөөрлийн бодлогын эзэн хүн. Тэгвэл дараагийн интерфейс эсвэл туннелийн өөрчлөлт хоёр урсгалын алинд нөлөөлж байгааг таамаглахгүйгээр үнэлэх боломжтой.