Mengapa Permintaan TACACS+ ASA Melangkau Tunnel VPN Cawangan Anda

Tunnel cawangan sudah aktif, pengguna mengesahkan diri dengan pelayan TACACS+ jauh, tetapi log masuk firewall itu sendiri masih tamat masa. Puncanya bukan pepijat pada tunnel: tunnel LAN-to-LAN membawa trafik yang sepadan dengan pemilihnya, dan trafik pengurusan yang dijana ASA tentang dirinya sendiri ialah aliran berasingan dengan alamat sumbernya sendiri. Kebanyakan pasukan menemuinya semasa tetingkap perubahan, apabila satu-satunya akaun pentadbir ialah akaun yang gagal. Anggap sesi AAA yang dimulakan ASA sebagai aliran yang perlu anda reka, bukan sebagai kesan sampingan sambungan yang sudah berfungsi.

ASA ialah klien, dan trafiknya sendiri memerlukan laluannya sendiri

Apabila firewall menghubungi pelayan TACACS+, firewall ialah klien seperti mana-mana klien lain, kecuali tiada siapa yang mengkonfigurasi laluan untuknya secara sengaja. Paketnya berasal dari alamat antara muka pada peranti, ia dijana secara setempat dan bukan diteruskan, dan ia perlu dihalakan, diterjemah serta dilindungi oleh dasar sama seperti trafik pengguna. Tunnel tapak-ke-tapak yang melindungi subnet pengguna tidak melindungi sumber pengurusan itu secara automatik, kerana pemilihan trafik berdasarkan alamat dan bukan niat.

Tuliskan alamat yang anda jangka pelayan akan lihat. Jika anda tidak dapat menyatakannya dalam satu baris, anda belum mempunyai reka bentuk.

Antara muka dalam baris aaa-server bukan hiasan

Pada ASA, entri hos aaa-server mengambil perkaitan antara muka dalam kurungan, dan rujukan arahan hos AAA Cisco menerangkannya sebagai antara muka tempat pelayan pengesahan berada. Perkaitan itulah yang mengikat permintaan kepada antara muka dan kepada dasar yang digunakan antara muka itu. Memilihnya mengikut mana-mana antara muka yang menghadap internet, atau membiarkan apa yang tinggal daripada migrasi terakhir, menghasilkan alamat sumber yang tidak pernah direka untuk pelayan jauh dan tunnel itu.

inside hanya jawapan yang betul apabila antara muka yang dinamakan memegang alamat yang hendak digunakan oleh reka bentuk anda sebagai sumber. Pada peranti cawangan ia selalunya begitu; pada peranti dengan beberapa segmen peribadi mungkin tidak.

Menukar perkaitan bermakna mencipta semula entri

Rujukan arahan yang sama mendokumenkan kekangan penyuntingan yang memerangkap orang semasa peralihan: menukar antara muka pada hos sedia ada memerlukan entri hos dibuang dan dicipta semula. Konfigurasi yang kelihatan telah disunting mungkin belum berkuat kuasa, dan percubaan log masuk seterusnya masih keluar dari alamat lama. Rancang perkara itu sebagai buang-dan-tambah dengan salinan entri asal di hadapan anda, bukan sebagai pelarasan di tempat.

Jika beberapa pelayan ditakrifkan, ubah satu dan ujinya sebelum menyentuh yang lain, supaya satu kesilapan tidak mengunci semua laluan pentadbiran sekali gus.

Periksa pemilih, terjemahan dan laluan pulangan bersama-sama

Tiga perkara mesti sepadan supaya permintaan itu sampai. Pemilih trafik tunnel, atau perlindungan antara muka tunnel jika anda menjalankannya, mesti merangkumi sumber ASA sendiri dan alamat pelayan; senarai pemilih yang dibina untuk subnet pengguna biasanya tidak akan berbuat demikian. Mana-mana peraturan NAT pada laluan mesti menterjemah sumber itu secara konsisten, kerana pelayan membenarkan identiti peranti rangkaian yang merangkumi alamat yang dilihatnya. Dan laluan pulangan mesti wujud, yang pada tunnel berasaskan dasar bermakna hujung jauh mempunyai pemilih yang sepadan dalam arah bertentangan.

Di sebelah pelayan, sahkan identiti peranti, rahsia kongsi dan dasar pentadbiran secara berasingan. TACACS+ mengekalkan pengesahan, kebenaran dan perakaunan sebagai operasi berasingan, jadi penolakan yang tiba selepas pertukaran selesai ialah jawapan dasar, bukan kegagalan pengangkutan. Membacanya sebagai masalah rangkaian membawa anda mencari di tempat yang salah.

Jauhkan rahsia daripada tangkapan paket, tiket dan transkrip semasa menyahpepijat, dan ingat bahawa alamat sumber yang direkodkan pelayan ialah alamat yang harus diterangkan oleh reka bentuk anda.

Lakukan perubahan tanpa mengunci diri anda di luar

Gunakan konsol atau laluan pengurusan bebas semasa menukar pengesahan pentadbiran jauh, dan kekalkan sandaran setempat yang diluluskan sehingga laluan baharu telah membawa log masuk sebenar. Kemudian sahkan secara sempit: satu pelayan, satu peranti, satu pengesahan berjaya dengan alamat sumber diperhatikan di kedua-dua hujung.

Rekodkan aliran itu pada halamannya sendiri: antara muka dan alamat asal, pelayan jauh, laluan terlindung, dan orang yang memiliki dasar kebenaran. Perubahan antara muka atau tunnel kemudiannya boleh dinilai tanpa meneka aliran mana antara dua itu yang terjejas.