VPN дэд сүлжээ ASA интерфэйсийн аюулгүй байдлын түвшинг өвлөдөг үү?

Шифрлэгдсэн VPN дэд сүлжээ интерфэйсийн аюулгүй байдлын түвшинг хэзээ ч өвлөдөггүй. sysopt connection permit-vpn, бүлгийн шүүлтүүр, удирдлагын хандалтыг тус тусад нь шалгана уу.

Хэн нэгэн салбарын VPN дэд сүлжээ ASA дээр «аюулгүй байдлын түвшин 0 эсвэл 100»-тай юу гэж асуудаг бөгөөд асуултад алдаа аль хэдийн агуулагдаж байна. Аюулгүй байдлын түвшин нь локал интерфэйсийн шинж чанар бөгөөд интерфэйсийн тохиргоонд 0-ээс 100 хүртэл олгогддог. Туннелээр ирж буй алсын дэд сүлжээ нь crypto map хэрхэн бичигдсэнээс үл хамааран үүнийг олж авдаггүй. Тиймээс асуултад тоон хариулт байхгүй.

Практик дараагийн асуулт илүү дээр: аль бодлого салбарыг сервер рүү нэвтрүүлж, аль нь түүнийг галт ханын өөрөөс нь хол байлгадаг вэ. Эдгээр нь хоёр хариулт бөгөөд доорх журам тэдгээрийг ялгадаг.

Аюулгүй байдлын түвшин интерфэйсүүдэд хамаарна

show running-config interface-г ажиллуулбал физик интерфэйс эсвэл VLAN интерфэйс бүрийн дор security-level харагдана, туннелийн бүлэг эсвэл crypto map-ийн дор биш. Дээдээс доош анхдагч зөвшөөрөл нь эдгээр интерфэйсийн хооронд үнэлэгддэг тул тоо нь өөрийн хамаарах зам дээр хяналт болон далд ACL-ийн зан төлөвийг өөрчилдөг.

Шифрлэгдсэн VPN урсгалын хувьд оролт нь туннель дуусдаг outside интерфэйс хэвээр, гаралт нь сервер рүү чиглэсэн inside интерфэйс юм. Ямар нэгэн зүйлд хүрэхээс өмнө хоёуланг нь бичиж аваарай. Энэ нэг алхам нь төөрөгдлийн ихэнхийг арилгадаг, учир нь хийсвэр итгэлцлийн асуултыг интерфэйсийн хос болгон хувиргадаг.

ACL-ийг тойрч гарах нь нэрлэсэн хил хязгаартай

VPN трафик ACL-ийг үл тоомсорлодог гэж хэлэхдээ хүмүүс хагас санадаг тохиргоо нь sysopt connection permit-vpn юм. Энэ нь VPN трафик гэж тооцогдох трафикийн хувьд интерфэйсийн ACL-ийг үнэхээр алгасдаг бөгөөд 9.x параметрийн гарын авлага дэлхийн үл хамаарах зүйл зарлахын оронд интерфэйс, чиглэлээр хязгаарладаг.

Санах ойгоос дүгнэхээс өмнө юу тохируулсан байгааг шалгана уу:

  • show running-config all sysopt бодит утгыг харахын тулд, зөвхөн анхдагч бус мөрүүдийг биш.
  • show running-config access-group аль ACL аль интерфэйс, чиглэлд хэрэгжиж байгааг харахын тулд.
  • show vpn-sessiondb detail l2l сесс яг аль туннелийн бүлэг, шүүлтүүрийг ашиглаж байгааг баталгаажуулахын тулд.

VPN хандалтыг чангатгахын тулд энэ тохиргоог унтраах нь өргөн нөлөөтэй өөрчлөлт юм. Энэ нь тохирох VPN урсгал бүрийг дахин гадаад ACL-д захируулдаг бөгөөд энэ нь ихэвчлэн ажиллаж буй туннелүүдийг танаас асуусан салбартай холбоогүй байдлаар эвддэг.

Сессэд хавсаргасан шүүлтүүрийг уншина уу

Туннель бүрийн жинхэнэ хяналт бол VPN шүүлтүүр: бүлгийн бодлого эсвэл хэрэглэгчийн нэрээр дурдсан ACL бөгөөд шифр тайласны дараа, шифрлэхээс өмнө хэрэгждэг. Хэрэглэгчийн түвшний шүүлтүүр бүлгийн түвшний утгыг дарж бичдэг тул нэг туннелийн бүлгийн хоёр хүн өөр өөр үр дүнтэй хандалттай байж болно.

Дарамбарыг таамаглахын оронд баталгаажуулна уу. show running-config group-policy <name> бүлгийн утгыг харуулж, show running-config username <name> хэрэглэгч бүрийн утга байгаа эсэхийг харуулна. Хоёулаа байвал хэрэглэгчийн утга ялна. Дараа нь тухайн ACL-ийн бичлэгүүдийг таны сонирхож буй урсгалтай, шүүлтүүр үнэлдэг чиглэлд харьцуулна уу.

Аппликейшн серверийг зөвшөөрдөг шүүлтүүр нь удирдлагын талаар юу ч хэлдэггүй. Эдгээр нь тусдаа зам дээрх тусдаа дүрэм юм.

Нэг зөвшөөрөл, нэг татгалзлыг шалгана уу

Хэрэглэгчийн мэдээллийг хүлээхгүйгээр шийдвэрийг харах хамгийн хурдан арга бол Packet-tracer юм. Түүнд шифр тайлагдсан талын урсгыг өгч, туулж буй ACL, NAT, хяналтын үе шатуудыг нэрлүүлнэ үү.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Үр дүнгийн мөрийг уншина уу: пакетыг зөвшөөрсөн эсвэл хаясан ACL-ийг нэрлэдэг.
  3. inside интерфэйс дээрх админ очих газраар давтаж, татгалзлыг баталгаажуулна уу.
  4. Ямар ч өөрчлөлтийн дараа дахин нэг удаа давтаж, өмнөх болон дараах төлөвийг хоёуланг нь бүртгэнэ үү.

Дараа нь бодит трафикаар шалгана уу: салбараас нэг амжилттай аппликейшн хүсэлт, ASA руу нэг бүтэлгүй SSH оролдлого. Packet-tracer замыг загварчилж, амьд урсгал загвар тохирсныг нотолдог.

Үүнийг ажиллуулсан өөрчлөлтийг буцаана уу

Засвар нь ACL-ийг тойрч гарахыг унтраах эсвэл шүүлтүүрийг өргөтгөх байсан бол өмнөх тохиргоог хадгална уу. Өөрчлөлтөөс өмнө хадгалсан нөлөөлөгдсөн объектуудын show run бичлэг тэдгээрийг сэргээхэд хангалттай; ASA тохиргоо нь мөрөнд чиглэсэн тул буцаах нь хуучин мөрүүдийг дахин оруулахыг хэлнэ, файл сэргээх биш.

Интерфэйсийн хос, үр дүнтэй шүүлтүүр, packet-tracer-ийн ACL нэр, таны өөрчилсөн яг командуудыг бүртгэнэ үү. Энэ бүртгэл дараагийн хяналтыг итгэлцлийн түвшний тухай өөр нэг маргаан биш, таван минутын шалгалт болгоно.

Холбоотой нийтлэлүүд