Сайт хоорондын VPN ажиллаж байгаа ч ASA-ийн бүртгэл ирэхгүй байна: эх хаягийг шалгана уу

Дотоод хост нар алсын цуглуулагч руу хүрч, тэдний syslog мөрүүд гарч ирнэ. Мөн тэдгээр сессүүдийн талаарх ASA-ийн өөрийн мессежүүд хэзээ ч ирдэггүй. Цуглуулагч эсвэл туннельд ямар ч алдаа байхгүй, энэ нь төөрөгдүүлдэг хэсэг юм. Галт хана бүртгэлээ туннель хэзээ ч хамгаалахаар баригдаагүй эх сурвалжаас илгээж байна.

Юу ирдэг, юу ирдэггүй вэ

Самбар дээр ижил харагдах хоёр урсгалыг салгаж эхэл. Дамжуулсан трафик ASA-аар дамждаг: LAN хост цуглуулагч руу илгээдэг, ASA түүнийг туннелийн бодлоготой тулгаж, шифрлэдэг, цуглуулагч хостын хаягийг хардаг. Үүсгэсэн трафик ASA дээр өөрөө эхэлдэг: төхөөрөмж syslog пакет байгуулж, гарах интерфейс болон эх сурвалжийг сонгоод, дараа нь л ямар нэг туннелийн бодлого тохирох эсэхийг асуудаг. Эхний урсгал туннель ажиллаж байгааг нотолж, хоёр дахь тухай юу ч хэлдэггүй.

Төхөөрөмж дээр буферлагдсан үйл явдал нь алсын хүргэлтийн нотолгоо биш, учир нь бүртгэл локалд байж, хэзээ ч илгээгдээгүй байж болно. Туннелийг буруутгахаас өмнө цуглуулагчийн хүлээн авах тоолуурыг шалга, учир нь хоосон тоолуур өсөж буй тоолуураас өөр дүгнэлт юм.

Үүсгэсэн мессеж нь дамжуулсан трафик биш

ASA пакетыг өөрөө үүсгэх үед энэ нь LAN хостын прокси биш юм. Эх сурвалж гарах интерфейс эсвэл тодорхой эх тохиргооноос ирдэг, пакет нь төхөөрөмжийн илгээдэг бусад бүх зүйлтэй адил зам хайлт болон бодлогын шалгалтад ордог. Энэ нь VPN селектор ASA-ийн бодитоор ашигладаг хаягийг багтаах ёстой гэсэн үг, энэ нь ихэвчлэн түүний гадаад интерфейс, дотоод дэд сүлжээ биш.

Хэрэв бодлого 10.20.0.0/24-ийг хамгаалж, ASA эх сурвалж болгон гадаад хаягаа ашигладаг бол бүртгэлийн пакет нь хүрч чадахгүй цуглуулагч руу нээлттэй текстээр гарна, эсвэл хаягдана. Хоёр үр дүн цуглуулагчийн талаас ижил харагдана. Мөн адил үндэслэл удирдлагын трафикт хамаарна, тиймээс management-access нь тусдаа дизайны шийдвэр юм.

ASA сүлжээнд ямар эх сурвалж тавьдаг вэ

Эх сурвалжийг таамаглалаар биш, туршлагаар ол. Туршилтын мессежийн үеэр гарах интерфейс дээр авсан бичлэг бодит эх ба очих газрыг харуулдаг, энэ нь тохиргооны гурван хэсгийг уншихаас бага цаг зарцуулдаг. Тэр хаягийг туннелийн локал селектортой харьцуул.

Зарим хувилбар бүртгэлийн эх сурвалжийг интерфейст бэхлэх боломж олгодог, таны хувилбарын командын лавлах нь тэр сонголт байгаа эсэх, юу өөрчлөхийг тодорхойлох эрх бүхий эх сурвалж юм. Өөр Cisco платформын source-interface команд ASA дээр автоматаар хүчинтэй биш.

Хэрэв эх сурвалжийг өөрчилбөл санаатайгаар өөрчилж, тэмдэглэ, учир нь цуглуулагчийн ACL болон syslog-д суурилсан аливаа хамаарал үүнээс хамаарна.

Селекторыг бүртгэлийн урсгалтай тааруул

Эх сурвалж тодорхой болсны дараа гурван зүйлийг дарааллаар шалга: ямар трафик сонирхолтойг шийддэг крипто ACL эсвэл бодлогод суурилсан селектор, пакет хаашаа явахыг шийддэг зам, шифрлэлтийн өмнө эх сурвалжийг дахин бичиж болох аливаа NAT дүрэм. Замтай тохирч, селектортой тохирохгүй пакет туннельд ордоггүй, NAT-аар дахин бичсэн пакет хоёуланд нь тохирохгүй байж болно.

Цуглуулагчийн тал өөрийн шаардлагатай: ASA-ийн эх сурвалжийг зөвшөөрөх ACL, буцах зам, таны тохируулсан порт дээр сонсож буй үйлчилгээ. Тээвэрлэлт энд ч чухал, учир нь хэсэгчлэн хаагдсан зам дээр TCP болон TLS бүртгэл UDP-ээс өөрөөр ажилладаг. Нэг удаад нэг элемент өөрчил, эс бөгөөс дараагийн бичлэг аль өөрчлөлт чухал байсныг хэлэхгүй.

Цуглуулагч дээр баталгаажуулаад эх сурвалжийг тэмдэглэ

Мессеж ирж буйг батал, дараа нь ASA-ийн ашигласан эх хаяг, түүнийг зөөсөн селектор, туршилтын ноцтой байдлыг бич.

Тэр бүртгэл дараагийн цуглуулагчийн ACL өөрчлөлт эсвэл селекторын засварыг дахин нээхийн оронд хоёр минутын шалгалт болгоно. Мөн хоёр урсгалын алийг нь хэзээ нэгэн цагт баталгаажуулсныг баримтжуулдаг, ихэнх гарын авлага энэ хэсгийг орхидог. Мессеж ирэхгүй хэвээр байвал ноцтой байдлын босгыг түр буулгаж, нэг очих газар руу туршиж үз.

Cisco-гийн ASA бүртгэлийн түгээмэл асуултууд гадаад эх сурвалжтай, холбогдох хамгаалагдсан трафикийн тодорхойлолт шаарддаг тохиолдлыг баримтжуулдаг бөгөөд түүний дотоод эх сурвалжтай жишээ нь дотор нь бүртгэлийн хост болон дотор нь management-access-ийг хоёуланг нь агуулдаг. Баримтжуулсан хослол болон програм хангамжийн нөхцөл байдлыг хамт авч үз, нэг хуулбарласан мөр бүх тохиргоонд тохирно гэж бүү үз.

LAN трафик зөөдөг туннель нь галт хананы өөрийн дуу хоолойг зөөдөг туннель биш.