Peraturan ASA yang mana melihat trafik selepas VPN menyahsulitnya

Andaian pertama yang perlu ditinggalkan ialah ACL kripto ialah dasar akses. Ia bukan. Pada Cisco ASA, senarai itu menjawab satu soalan sempit: paket mana yang layak dilindungi, dan jawapan itu tidak mengatakan apa-apa tentang sama ada paket yang dinyahsulit boleh mencapai pelayan di belakang tembok api. Akses diputuskan kemudian, oleh dasar antara muka, oleh penapis dasar kumpulan, atau kedua-duanya, bergantung pada cara terowong dibina.

ACL kripto menjawab soalan yang berbeza

ACL kripto ialah senarai padanan. Ia memberitahu terowong apa yang perlu disulitkan antara dua rakan; paket yang tidak sepadan dengannya memang tidak dilindungi. Meluaskannya mengubah skop perlindungan dan tidak yang lain.

Sebab itulah menambah subrangkaian di situ boleh menaikkan terowong sementara aplikasi sebenar masih gagal. Terowong naik kerana padanan kini wujud. Aplikasi masih gagal kerana tiada apa pun dalam senarai itu membenarkan apa-apa. Dua soalan berbeza, dijawab oleh dua senarai berbeza.

Apa yang sebenarnya dilangkau oleh tetapan pintasan

sysopt connection permit-vpn membenarkan trafik terlindung melangkau pemeriksaan ACL antara muka yang sepatutnya terpakai di sebelah masuk. Ia kemudahan untuk penggunaan VPN, dan ia global. Ia tidak menyentuh dasar kumpulan, dan tidak menyentuh penapis kebenaran setiap pengguna.

Baca nilai sebenar dan bukan andaian: show running-config all sysopt mencetak tetapan itu walaupun ia tidak pernah dikonfigurasikan secara jelas, dan di situlah banyak kekeliruan bermula.

Kerana tetapannya global, mengujinya sebagai eksperimen pantas pada satu subrangkaian yang gagal ialah pertukaran yang buruk. Setiap terowong lain pada tembok api itu berkongsi hasilnya. Simpan untuk perubahan yang disengajakan dengan pelan undur.

Baca penapis dalam arah nyahsulit

Satu vpn-filter LAN-to-LAN ditulis dari sudut pandangan terowong, bukan antara muka. Rangkaian jauh berada di kedudukan sumber dan rangkaian setempat di kedudukan destinasi, kerana begitulah rupa paket selepas nyahsulit. Penapis yang sama kemudian dinilai semula dalam arah bertentangan sebelum penyulitan, dengan peranan alamat diterbalikkan.

Syarat port memerlukan lebih penelitian daripada ACL antara muka yang disalin, tepat kerana sebab itu. Peraturan yang membenarkan satu port destinasi boleh memberi kesan tidak diingini dalam arah terbalik, di mana sambungan baharu menggunakan port itu sebagai sumbernya. Catat pihak mana yang boleh memulakan, perkhidmatan sebenar, dan pihak lawan yang mesti kekal tertutup sebelum anda membina senarai.

Sahkan penapis mana yang benar-benar dilampirkan: show running-config group-policy dan show vpn-sessiondb detail l2l bersama-sama memberitahu apa yang diwarisi sesi. Menyunting ACL yang tidak dirujuk mana-mana dasar tidak mengubah apa-apa.

Jangan guna semula satu objek ACL untuk dua kerja

access-group antara muka dan vpn-filter kelihatan seperti jenis objek yang sama dan dinilai pada titik berbeza dengan orientasi alamat berbeza. Menetapkan satu senarai kepada kedua-duanya mengundang perubahan yang membaiki terowong dan melembutkan antara muka fizikal secara senyap.

Asingkan keduanya, namakan mengikut tugasnya, dan biarkan perbezaan arah kelihatan dalam nama.

Sahkan dengan sambungan baharu, dalam kedua-dua arah

Selepas perubahan terancang, buka satu sambungan baharu yang sepatutnya dibenarkan dan satu sambungan baharu yang sepatutnya ditolak, kemudian catat alamat, arah dan padanan dasar bersama hasilnya. Sesi yang telah terbentuk tidak membuktikan apa-apa tentang penapisan sambungan baharu, kerana ia sudah diterima di bawah peraturan lama.

Perhitungkan juga pemeriksaan. Dokumentasi vendor menyatakan bahawa penapis VPN memeriksa sambungan awal dan bukan setiap sambungan sekunder yang dibuka oleh enjin pemeriksaan, jadi saluran kawalan dan aliran media berkaitannya boleh menerima layanan berbeza. Jika aplikasi memahami protokol, uji aliran sebenar dan bukan satu kuar port.

Terowong yang menjadi boleh digunakan selepas pintasan luas memberitahu anda bahawa sekatan telah dibuang, bukan bahawa ia telah dipenuhi. Hasil yang wajar dikekalkan ialah titik penguatkuasaan bernama yang boleh anda tunjukkan pada semakan seterusnya.