Adakah Subnet VPN Mewarisi Tahap Keselamatan Antara Muka ASA?

Seseorang bertanya sama ada subnet VPN cawangan mempunyai «tahap keselamatan 0 atau 100» pada ASA, dan soalan itu sudah mengandungi kesilapan. Tahap keselamatan ialah sifat antara muka setempat, diberikan 0 hingga 100 dalam konfigurasi antara muka. Subnet jauh yang tiba melalui terowong tidak memperolehnya, tidak kira bagaimana crypto map ditulis. Sebab itu soalan itu tiada jawapan berangka.

Soalan susulan yang praktikal lebih baik: dasar mana yang membenarkan cawangan ke pelayan, dan mana yang menjauhkannya daripada tembok api itu sendiri. Itu dua jawapan, dan prosedur di bawah memisahkannya.

Tahap keselamatan milik antara muka

Jalankan show running-config interface dan anda akan melihat security-level di bawah setiap antara muka fizikal atau antara muka VLAN, bukan di bawah kumpulan terowong atau crypto map. Kebenaran lalai dari tinggi ke rendah dinilai antara antara muka itu, sebab itu nombor itu mengubah tingkah laku pemeriksaan dan ACL tersirat pada laluan yang menjadi miliknya.

Untuk aliran VPN yang dinyahkripsi, masuk masih antara muka outside tempat terowong berakhir, dan keluar ialah antara muka inside menuju pelayan. Tulis kedua-duanya sebelum anda menyentuh apa-apa. Satu langkah itu menghapuskan sebahagian besar kekeliruan, kerana ia menukar soalan kepercayaan abstrak menjadi pasangan antara muka.

Pemintasan ACL mempunyai sempadan bernama

sysopt connection permit-vpn ialah tetapan yang orang ingat separuh apabila mereka berkata trafik VPN mengabaikan ACL. Ia memang melangkau ACL antara muka untuk trafik yang layak sebagai trafik VPN, dan panduan parameter 9.x mengehadkannya mengikut antara muka dan arah dan bukannya mengisytiharkan pengecualian global.

Semak apa yang dikonfigurasikan sebelum membuat penaakulan daripada ingatan:

• show running-config all sysopt untuk melihat nilai berkesan, bukan hanya baris bukan lalai.
• show running-config access-group untuk melihat ACL mana yang digunakan pada antara muka dan arah mana.
• show vpn-sessiondb detail l2l untuk mengesahkan kumpulan terowong dan penapis mana yang benar-benar digunakan oleh sesi.

Mematikan tetapan itu untuk mengetatkan akses VPN ialah perubahan dengan kesan besar. Ia menundukkan semula setiap aliran VPN yang layak kepada ACL luar, yang biasanya memecahkan terowong yang berfungsi dengan cara yang tidak berkaitan dengan cawangan yang ditanyakan.

Baca penapis yang dilampirkan pada sesi

Kawalan sebenar bagi setiap terowong ialah penapis VPN: ACL yang dirujuk oleh dasar kumpulan atau nama pengguna, digunakan selepas penyahkripsian dan sebelum penyulitan. Penapis peringkat pengguna mengatasi nilai peringkat kumpulan, jadi dua orang dalam kumpulan terowong yang sama boleh mempunyai akses berkesan yang berbeza.

Sahkan keutamaan dan bukannya menganggapnya. show running-config group-policy <name> menunjukkan nilai kumpulan, dan show running-config username <name> menunjukkan sama ada nilai setiap pengguna wujud. Jika kedua-duanya wujud, nilai pengguna menang. Kemudian bandingkan entri ACL itu dengan aliran yang anda pedulikan, dalam arah yang dinilai oleh penapis.

Penapis yang membenarkan pelayan aplikasi tidak berkata apa-apa tentang pengurusan. Itu peraturan berasingan pada laluan berasingan.

Sahkan satu kebenaran dan satu penolakan

Packet-tracer ialah cara terpantas untuk melihat keputusan tanpa menunggu pengguna melaporkannya. Berikan aliran dari bahagian dinyahkripsi dan biarkan ia menamakan peringkat ACL, NAT dan pemeriksaan yang dilaluinya.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Baca baris hasil: ia menamakan ACL yang membenarkan atau menggugurkan paket itu.
3. Ulang dengan destinasi pentadbiran pada antara muka inside dan sahkan penolakan.
4. Ulang sekali lagi selepas setiap perubahan, supaya keadaan sebelum dan selepas kedua-duanya direkodkan.

Kemudian sahkan dengan trafik sebenar: satu permintaan aplikasi yang berjaya dari cawangan dan satu percubaan SSH yang gagal ke ASA. Packet-tracer memodelkan laluan; aliran langsung membuktikan model itu sepadan.

Batalkan perubahan yang menjadikannya berfungsi

Jika pembaikan itu ialah mematikan pemintasan ACL atau meluaskan penapis, kekalkan konfigurasi sebelumnya. Tangkapan show run objek terjejas, yang disimpan sebelum perubahan, cukup untuk memulihkannya; konfigurasi ASA berorientasikan baris, jadi membatalkan bermakna memasukkan semula baris lama, bukan memulihkan fail.

Rekod pasangan antara muka, penapis berkesan, nama ACL daripada packet-tracer dan arahan tepat yang anda ubah. Rekod itu menjadikan semakan seterusnya satu pemeriksaan lima minit dan bukannya perdebatan lain tentang tahap kepercayaan.