VPN antara tapak berfungsi, tetapi log ASA tidak tiba: semak alamat sumber

Hos dalaman mencapai pengumpul jauh dan baris syslog mereka muncul. Mesej ASA sendiri tentang sesi yang sama tidak pernah tiba. Tiada apa-apa yang salah dengan pengumpul atau terowong, dan itulah bahagian yang mengelirukan. Firewall menghantar lognya dari sumber yang terowong tidak pernah dibina untuk melindungi.

Apa yang tiba dan apa yang tidak

Mulakan dengan memisahkan dua aliran yang kelihatan serupa pada papan pemuka. Trafik yang diteruskan melalui ASA: hos LAN menghantar kepada pengumpul, ASA memadankannya dengan dasar terowong, menyulitkannya, dan pengumpul melihat alamat hos. Trafik yang dijana bermula pada ASA sendiri: peranti membina paket syslog, memilih antara muka keluar dan sumber, dan hanya kemudian bertanya sama ada mana-mana dasar terowong sepadan. Aliran pertama membuktikan terowong berfungsi, dan ia tidak berkata apa-apa tentang yang kedua.

Peristiwa yang dibuffer pada peranti juga bukan bukti penghantaran jauh, kerana log mungkin wujud secara setempat dan tidak pernah dihantar. Semak pembilang penerimaan pengumpul sebelum menyalahkan terowong, kerana pembilang kosong adalah penemuan yang berbeza daripada yang bertambah.

Mesej yang dijana bukan trafik yang diteruskan

Apabila ASA menjana paket sendiri, ia tidak menjadi proksi hos LAN. Sumber datang dari antara muka keluar atau dari tetapan sumber yang jelas, dan paket memasuki carian laluan dan pemeriksaan dasar yang sama seperti apa-apa lagi yang dihantar peranti. Ini bermakna pemilih VPN mesti menyertakan alamat yang benar-benar digunakan ASA, dan itu selalunya antara muka luarnya dan bukan subrangkaian dalaman.

Jika dasar melindungi 10.20.0.0/24 dan ASA menggunakan alamat luarnya sebagai sumber, paket log sama ada keluar dalam teks jelas menuju pengumpul yang tidak dapat dicapainya, atau digugurkan. Kedua-dua hasil kelihatan serupa dari sisi pengumpul. Penaakulan yang sama terpakai pada trafik pengurusan, sebab itu management-access ialah keputusan reka bentuk yang berasingan.

Sumber mana yang ASA letakkan pada rangkaian

Cari sumber secara empirik dan bukan dengan andaian. Tangkapan pada antara muka keluar semasa mesej ujian menunjukkan sumber dan destinasi sebenar, dan ia menjimatkan masa berbanding membaca tiga bahagian konfigurasi. Bandingkan alamat itu dengan pemilih setempat terowong.

Sesetengah keluaran membenarkan anda menyematkan sumber log pada antara muka, dan rujukan arahan untuk versi anda ialah autoriti tentang sama ada pilihan itu wujud dan apa yang diubahnya. Arahan source-interface daripada platform Cisco lain tidak automatik sah pada ASA.

Jika anda menukar sumber, lakukan dengan sengaja dan catat, kerana ACL pengumpul dan sebarang korelasi yang dibina atas syslog bergantung padanya.

Padankan pemilih dengan aliran log

Setelah sumber diketahui, semak tiga perkara mengikut urutan: ACL kripto atau pemilih berasaskan dasar yang menentukan trafik mana yang menarik, laluan yang menentukan ke mana paket pergi, dan mana-mana peraturan NAT yang mungkin menulis semula sumber sebelum penyulitan. Paket yang sepadan dengan laluan tetapi bukan pemilih tidak diterowong, dan paket yang ditulis semula NAT mungkin tidak sepadan dengan kedua-duanya.

Sisi pengumpul mempunyai keperluannya sendiri: ACL yang membenarkan sumber ASA, laluan balik, dan perkhidmatan yang mendengar pada port yang anda konfigurasi. Pengangkutan juga penting di sini, kerana pengelogan TCP dan TLS berkelakuan berbeza daripada UDP pada laluan yang disekat sebahagiannya. Tukar satu elemen pada satu masa, jika tidak tangkapan seterusnya tidak akan memberitahu anda perubahan mana yang penting.

Sahkan pada pengumpul, kemudian catat sumber

Pastikan mesej tiba, kemudian catat alamat sumber yang digunakan ASA, pemilih yang membawanya dan keterukan yang anda uji.

Catatan itu menjadikan perubahan ACL pengumpul atau suntingan pemilih seterusnya sebagai pemeriksaan dua minit dan bukan penemuan semula. Ia juga mendokumentasikan aliran mana antara dua itu yang pernah disahkan, dan itulah bahagian yang kebanyakan runbook tertinggal. Jika mesej masih tidak tiba, turunkan sementara ambang keterukan dan uji terhadap satu destinasi.

Soalan lazim pengelogan ASA daripada Cisco mendokumentasikan kes dengan sumber luar yang memerlukan definisi trafik terlindung yang berkaitan, dan contoh sumber dalamannya merangkumi hos pengelogan di dalam dan management-access di dalam. Rawat gabungan yang didokumentasikan dan konteks perisian bersama-sama, bukan menganggap satu baris yang disalin sesuai untuk setiap konfigurasi.

Terowong yang membawa trafik LAN bukan terowong yang membawa suara firewall itu sendiri.