VPN सबनेटला ASA इंटरफेसची सुरक्षा पातळी मिळते का?

डिक्रिप्ट केलेल्या VPN सबनेटला इंटरफेसची सुरक्षा पातळी कधीच वारसा म्हणून मिळत नाही. sysopt connection permit-vpn, गट फिल्टर आणि व्यवस्थापन प्रवेश स्वतंत्रपणे तपासा.

कोणीतरी विचारते की ब्रांचच्या VPN सबनेटला ASA वर «सुरक्षा पातळी 0 किंवा 100» आहे का, आणि प्रश्नात आधीच चूक आहे। सुरक्षा पातळी ही स्थानिक इंटरफेसची गुणधर्म आहे आणि इंटरफेस कॉन्फिगरेशनमध्ये 0 ते 100 पर्यंत दिली जाते। टनेलमधून येणाऱ्या दूरस्थ सबनेटला कोणतीही पातळी मिळत नाही, crypto map कसेही लिहिलेले असो। म्हणूनच प्रश्नाला संख्यात्मक उत्तर नाही।

व्यावहारिक पुढचा प्रश्न चांगला आहे: कोणते धोरण ब्रांचला सर्व्हरकडे जाऊ देतो आणि कोणते तिला फायरवॉलपासून दूर ठेवते। ती दोन उत्तरे आहेत, आणि खालील प्रक्रिया त्यांना वेगळे करते।

सुरक्षा पातळ्या इंटरफेसच्या असतात

show running-config interface चालवा आणि तुम्हाला प्रत्येक भौतिक इंटरफेस किंवा VLAN इंटरफेसखाली security-level दिसेल, टनेल गट किंवा crypto map खाली नाही। उच्च ते खालची डीफॉल्ट परवानगी त्या इंटरफेसांमध्ये मूल्यांकन केली जाते, म्हणूनच संख्या तिच्या पाथवर तपासणी आणि अंतर्निहित ACL चे वर्तन बदलते।

डिक्रिप्ट केलेल्या VPN प्रवाहासाठी प्रवेश अजूनही outside इंटरफेस आहे जिथे टनेल संपतो, आणि निर्गम सर्व्हरकडे inside इंटरफेस आहे। काहीही स्पर्श करण्यापूर्वी दोन्ही लिहून घ्या। हे एक पाऊल बहुतेक गोंधळ दूर करते, कारण ते अमूर्त विश्वासाच्या प्रश्नाचे इंटरफेस जोडीत रूपांतर करते।

ACL बायपासला नाव असलेली सीमा आहे

sysopt connection permit-vpn हे ते सेटिंग आहे जे लोक अर्धवट लक्षात ठेवतात जेव्हा ते म्हणतात की VPN रहदारी ACL कडे दुर्लक्ष करते। ते VPN रहदारी म्हणून पात्र ठरणाऱ्या रहदारीसाठी इंटरफेस ACL वगळते, आणि 9.x पॅरामीटर मार्गदर्शक जागतिक अपवाद घोषित करण्याऐवजी इंटरफेस आणि दिशेनुसार मर्यादित करते।

स्मरणातून तर्क करण्यापूर्वी काय कॉन्फिगर आहे ते तपासा:

  • show running-config all sysopt प्रत्यक्ष मूल्य पाहण्यासाठी, केवळ बिगर-डीफॉल्ट ओळी नाहीत।
  • show running-config access-group कोणता ACL कोणत्या इंटरफेस आणि दिशेवर लागू आहे हे पाहण्यासाठी।
  • show vpn-sessiondb detail l2l सत्र प्रत्यक्षात कोणता टनेल गट आणि फिल्टर वापरते हे निश्चित करण्यासाठी।

VPN प्रवेश कडक करण्यासाठी ते सेटिंग बंद करणे हा मोठ्या प्रभावाचा बदल आहे। ते प्रत्येक पात्र VPN प्रवाहाला पुन्हा बाह्य ACL च्या अधीन करते, ज्यामुळे सहसा चालू असलेल्या टनेलना तुम्हाला विचारलेल्या ब्रांचशी संबंध नसलेल्या पद्धतीने तोडते।

सत्राशी जोडलेला फिल्टर वाचा

प्रत्येक टनेलसाठी खरे नियंत्रण VPN फिल्टर आहे: गट धोरण किंवा वापरकर्तानाव संदर्भित ACL, डिक्रिप्शननंतर आणि एन्क्रिप्शनपूर्वी लागू होते। वापरकर्ता-स्तरीय फिल्टर गट-स्तरीय मूल्य बदलतो, त्यामुळे एकाच टनेल गटातील दोघांचा प्रभावी प्रवेश वेगळा असू शकतो।

प्राधान्य गृहीत धरण्याऐवजी त्याची पुष्टी करा। show running-config group-policy <name> गटाचे मूल्य दाखवते, आणि show running-config username <name> प्रति-वापरकर्ता मूल्य आहे का ते दाखवते। दोन्ही असल्यास वापरकर्त्याचे मूल्य जिंकते। नंतर त्या ACL च्या नोंदी तुम्हाला महत्त्वाच्या प्रवाहाशी, फिल्टर ज्या दिशेने मूल्यांकन करतो त्या दिशेने तुलना करा।

अनुप्रयोग सर्व्हरला परवानगी देणारा फिल्टर व्यवस्थापनाबद्दल काहीही सांगत नाही। ती वेगळ्या पाथवर वेगळे नियम आहेत।

एक परवानगी आणि एक नकार तपासा

वापरकर्त्याच्या अहवालाची वाट न पाहता निर्णय पाहण्याचा सर्वात वेगवान मार्ग Packet-tracer आहे। त्याला डिक्रिप्ट बाजूचा प्रवाह द्या आणि तो ज्या ACL, NAT आणि तपासणी टप्प्यांतून जातो त्यांची नावे सांगू द्या।

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. निकालाची ओळ वाचा: पॅकेटला परवानगी देणाऱ्या किंवा टाकून देणाऱ्या ACL चे नाव ती सांगते।
  3. inside इंटरफेसवर व्यवस्थापन गंतव्यासह पुन्हा करा आणि नकाराची पुष्टी करा।
  4. कोणत्याही बदलानंतर अजून एकदा पुन्हा करा, जेणेकरून आधीची आणि नंतरची दोन्ही स्थिती नोंदवली जाईल।

नंतर प्रत्यक्ष रहदारीने तपासा: ब्रांचकडून एक यशस्वी अनुप्रयोग विनंती आणि ASA कडे एक अयशस्वी SSH प्रयत्न। Packet-tracer पाथचे मॉडेल करते; जिवंत प्रवाह मॉडेल जुळले हे सिद्ध करतो।

ज्या बदलामुळे ते चालले तो परत करा

उपाय ACL बायपास बंद करणे किंवा फिल्टर रुंदावणे असल्यास मागील कॉन्फिगरेशन ठेवा। बदलापूर्वी जतन केलेले प्रभावित ऑब्जेक्ट्सचे show run कॅप्चर त्यांना पुनर्संचयित करण्यासाठी पुरते; ASA कॉन्फिगरेशन ओळ-केंद्रित आहे, त्यामुळे परत करणे म्हणजे जुन्या ओळी पुन्हा टाकणे, फाइल पुनर्संचयित करणे नाही।

इंटरफेस जोडी, प्रभावी फिल्टर, packet-tracer मधील ACL नाव आणि तुम्ही बदललेले नेमके आदेश नोंदवा। ते नोंद पुढील पुनरावलोकन विश्वास पातळ्यांबद्दलच्या आणखी एका वादाऐवजी पाच मिनिटांची तपासणी करते।

संबंधित लेख