ASA-гийн алсын хэрэглэгч дэд сүлжээнд хүрдэг ч апп-д яагаад хүрдэггүй вэ
Маршрутууд туннель ажиллаж байгааг баталдаг, хэрэглэгч аппыг нээж чадахыг биш. Сесс хүлээн авсан шүүлтүүрийг уншиж, дараа нь зөвшөөрөгдсөн болон татгалзсан холболтыг шалгана уу.
Таны хэрэглэгч холбогдож, хаяг авч, аппын дэд сүлжээн дэх сервер рүү пинг илгээдэг ч түүн дээрх үйлчилгээг нээж чаддаггүй. Энэ хослол ASA дээр хэвийн, учир нь амжилттай туннель болон ашиглах боломжтой зөвшөөрлийг өөр өөр тохиргоо тодорхойлдог. Хуваасан туннелийн жагсаалт ямар чиглэлүүд туннельд орсныг сонгосон; VPN шүүлтүүр болон чиглэлийн өөрийн хандалтын дүрэм нь тайлсан хүсэлт юунд хүрч болохыг тодорхойлно. Маршрутын жагсаалтыг өргөжүүлэхийн оронд гурван шийдвэрийг дараалан авч үзээрэй, ямар нэг зүйл өөрчлөгдөх хүртэл.
Андуурахад хялбар гурван шийдвэр
Элсэлт нь хэрэглэгч туннелийг огт байгуулж болохыг хариулна: нэвтрэх мэдээлэл, гэрчилгээ болон аливаа хоёр дахь хүчин зүйл. Маршрутын сонголт нь клиент ямар чиглэлүүдийг тухайн туннельд илгээхийг хариулна. Зөвшөөрөл нь тайлсан хүсэлт үйлчилгээнд хүрч болохыг хариулна. Зөвхөн гурав дахь нь хэрэглэгчийн мэдээлж буй алдааг үүсгэдэг.
Тэдгээрийг ялгах хурдан арга бол өөрчлөлт юуг эвдэхийг асуух юм. Хуваасан жагсаалтаас маршрут хасах нь тухайн дэд сүлжээ рүү урсгалыг зогсоох боловч юу ч өгөхгүй; VPN шүүлтүүрт ACE нэмэх нь клиент туннельд юу хийж байгааг өөрчлөхгүйгээр чиглэл олгоно.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Сесс бодитоор хүлээн авсан шүүлтүүрийг уншина уу
Хэрэгжинэ гэж бодож буй тохиргооноос биш, ажиллаж буй сессээс эхэлнэ үү. show vpn-sessiondb detail anyconnect олгосон бүлгийн бодлого болон тухайн сесст хавсаргасан шүүлтүүрийн нэрийг хэвлэнэ. Талбар хоосон бол ямар ч шүүлтүүр юу ч шаардахгүй бөгөөд хаалт өөр газраас ирнэ.
Дараа нь утгыг эзэмших бодлогыг, өгөгдмөл утгуудыг оруулан уншина уу, учир нь шүүлтүүр өвлөгдөж болох бөгөөд таны харж буй газарт бичигдээгүй байж болно:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Сессийн шүүлтүүрийн нэрийг саяхан засварласан ACL-тэй харьцуулна уу. Хэрэглэгч хэзээ ч аваагүй ижил нэртэй ACL тухайн сессийн нөөцийн бодлогыг өөрчилж чадахгүй бөгөөд зөв харагдах өөрчлөлт үр дүнгүй байх хамгийн нийтлэг шалтгаан энэ юм.
Дээдэмжлэл бусад зүйлийг тайлбарлана. Шүүлтүүрийн тохиргоонд DAP бичлэг хэрэглэгчийн нэрний шинж чанаруудаас дээгүүр, хэрэглэгчийн нэрний шинж чанарууд бүлгийн бодлогоос дээгүүр байна. Сесс хүлээгээгүй шүүлтүүр харуулбал, бүлэгт хүрэхийн өмнө тухайн хэрэглэгчид тохирох DAP бодлогыг хайна уу.
Хуваасан жагсаалт ба шүүлтүүр нь тусдаа талбарууд
ASA 9.x дээр бүлгийн бодлого split-tunnel-network-list ба vpn-filter гэсэн өөр тохиргоог хадгалдаг бөгөөд 9.22 бүлгийн бодлогын гарын авлага яг энэ шалтгаанаар тэдгээрийг тусад нь баримтжуулсан. Сүлжээний жагсаалт нь клиентэд зориулсан маршрутын сануулга; шүүлтүүр нь тайлсан урсгалд хэрэглэгдэх хандалтын хяналтын жагсаалт.
Хэрэглэгч дэд сүлжээнд нэг HTTPS үйлчилгээ хэрэгтэй үед энэ ялгаа чухал. Пакетууд туннельд орохын тулд дэд сүлжээг хуваасан жагсаалтад хийгээд, дараа нь шүүлтүүрт зөвхөн тэр үйлчилгээг зөвшөөрнө үү. Маршрутын жагсаалтыг өргөжүүлэх нь юу ч зөвшөөрөхгүй, багасгах нь хэрэгжүүлэх механизм биш.
Интерфейсийн ACL замд байгаа эсэхийг шалгана уу
Тайлсан алсын хандалтын урсгал хүмүүсийн бодож байгаагаар гадаад интерфейсийн ACL-ээр үргэлж өнгөрдөггүй. sysopt connection permit-vpn идэвхжсэн газарт ASA тухайн урсгалд өөрийн баримтжуулсан VPN тойрч гарахыг хэрэглэдэг бол холбогдох VPN шүүлтүүрүүд дараа нь ч хүчинтэй хэвээр. Тохиргоог топологийн диаграмаас дүгнэхийн оронд show run all sysopt ашиглан шалгана уу.
Ямар ч тохиолдолд чиглэлийн хост өөрийн галт хана, аппын зөвшөөрөл замд үлдэнэ. TCP 443-ыг зөвшөөрөх ASA дүрэм аппыг хэрэглэгчийг хүлээн авахад хүргэхгүй.
Өөрчлөлтийг татгалзсан холболтоор ч хүлээн зөвшөөрнө үү
Зөвхөн зөвшөөрөгдсөн туршилт маш бага зүй батална, учир нь ажиллаж буй туннель шүүлтүүр байгаа эсэхээс үл хамааран ижил эхний пакетийг үүсгэдэг. Клиентээс зориулсан үйлчилгээг нээж, дараа нь хаалттай байх ёстой чиглэлийг туршиж, зөв шалтгаанаар бүтэлгүйтэж буйг батална уу.
Тасалбарыг хаахдаа дөрвөн баримтыг тэмдэглэнэ үү: хүлээн авсан таних тэмдэг, сесс бодитоор авсан бодлого ба шүүлтүүр, хуваасан жагсаалт дахь чиглэлүүд болон хэрэглэгчид хүрэхийг зөвшөөрсөн нөөц. Эдгээр дөрөв нь маршрутын жагсаалтыг галт хана болгохгүйгээр урсгалыг хаана хянаж байгааг тайлбарлана.
Шүүлтүүр зөвшөөрсний дараа ч үйлчилгээ татгалзвал хост руу шилжинэ үү: сонсох хаяг, хостын галт хана болон аппын өөрийн хэрэглэгчийн зураглал. Тэр мөчид туннель өөрийн ажлыг хийсэн бөгөөд ASA дээрх цаашдын өөрчлөлтүүд зөвхөн эрсдэл нэмдэг.