Mengapa pengguna jauh ASA sampai ke subnet tetapi tidak ke aplikasi
Laluan membuktikan terowong berfungsi, bukan bahawa pengguna boleh membuka aplikasi. Baca penapis yang diterima sesi, kemudian uji sambungan yang dibenarkan dan yang ditolak.
Pengguna anda bersambung, mendapat alamat, membuat ping ke pelayan dalam subnet aplikasi, namun masih tidak dapat membuka perkhidmatan di atasnya. Gabungan itu normal pada ASA, kerana terowong yang berjaya dan kebenaran yang boleh digunakan ditentukan oleh tetapan yang berbeza. Senarai terowong berpecah memilih destinasi mana yang masuk ke terowong; penapis VPN dan peraturan akses destinasi itu sendiri menentukan apa yang boleh dicapai oleh permintaan yang dinyahsulit. Lalui tiga keputusan itu mengikut urutan dan bukannya meluaskan senarai laluan sehingga sesuatu berubah.
Tiga keputusan yang mudah dikelirukan
Kemasukan menjawab sama ada pengguna boleh membina terowong langsung: kelayakan, sijil dan sebarang faktor kedua. Pemilihan laluan menjawab destinasi mana yang dihantar klien ke dalam terowong itu. Kebenaran menjawab sama ada permintaan yang dinyahsulit boleh mencapai perkhidmatan. Hanya yang ketiga menghasilkan ralat yang dilaporkan pengguna.
Cara cepat untuk membezakannya ialah bertanya apa yang akan rosak akibat sesuatu perubahan. Mengeluarkan laluan daripada senarai berpecah menghentikan trafik ke subnet itu tanpa memberikan apa-apa; menambah ACE pada penapis VPN memberikan destinasi tanpa mengubah apa yang diterowongkan klien.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Baca penapis yang sebenarnya diterima sesi
Mulakan dengan sesi hidup dan bukan konfigurasi yang anda fikir terpakai. show vpn-sessiondb detail anyconnect mencetak dasar kumpulan yang diberikan dan nama penapis yang dilampirkan pada sesi itu. Jika ruangan itu kosong, tiada penapis yang menguatkuasakan apa-apa dan sekatan datang dari tempat lain.
Kemudian baca dasar yang memiliki nilai itu, termasuk nilai lalai, kerana penapis boleh diwarisi dan bukan ditulis di tempat yang anda lihat:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Bandingkan nama penapis pada sesi dengan ACL yang baru anda sunting. ACL dengan nama serupa yang tidak pernah diterima pengguna tidak boleh mengubah dasar sumber sesi itu, dan inilah sebab paling biasa perubahan yang kelihatan betul tidak berkesan.
Keutamaan menjelaskan selebihnya. Untuk tetapan penapis, rekod DAP mengatasi atribut nama pengguna, dan atribut nama pengguna mengatasi dasar kumpulan. Apabila sesi menunjukkan penapis yang tidak anda jangkakan, cari dasar DAP yang sepadan dengan pengguna itu sebelum menyentuh kumpulan.
Senarai berpecah dan penapis ialah medan berasingan
Pada ASA 9.x dasar kumpulan menyimpan split-tunnel-network-list dan vpn-filter sebagai tetapan berbeza, dan panduan dasar kumpulan 9.22 mendokumenkannya secara berasingan kerana sebab itu. Senarai rangkaian ialah petunjuk penghalaan kepada klien; penapis ialah senarai kawalan akses yang digunakan pada trafik yang dinyahsulit.
Perbezaan itu penting apabila pengguna memerlukan satu perkhidmatan HTTPS dalam sesuatu subnet. Letakkan subnet dalam senarai berpecah supaya paket masuk ke terowong, kemudian benarkan hanya perkhidmatan itu dalam penapis. Meluaskan senarai laluan tidak memberi kebenaran apa-apa, dan mengecilkannya bukan mekanisme penguatkuasaan.
Semak sama ada ACL antara muka pun berada di laluan
Trafik akses jauh yang dinyahsulit tidak sentiasa melalui ACL antara muka luar seperti yang diandaikan orang. Di tempat sysopt connection permit-vpn diaktifkan, ASA menggunakan pengelakan VPN yang didokumenkan untuk trafik itu, manakala penapis VPN yang berkenaan masih terpakai selepas itu. Semak tetapan itu dengan show run all sysopt dan bukannya membuat penaakulan daripada rajah topologi.
Sama ada cara, tembok api hos destinasi dan kebenaran aplikasi kekal di laluan. Peraturan ASA yang membenarkan TCP 443 tidak membuatkan aplikasi menerima pengguna.
Terima perubahan itu juga dengan sambungan yang ditolak
Ujian yang dibenarkan sahaja membuktikan sangat sedikit, kerana terowong yang berfungsi menghasilkan paket pertama yang sama sama ada penapis wujud atau tidak. Buka perkhidmatan yang dimaksudkan dari klien, kemudian cuba destinasi yang sepatutnya kekal tertutup dan sahkan ia gagal atas sebab yang betul.
Catat empat fakta apabila menutup tiket: identiti yang diterima, dasar dan penapis yang sebenarnya diterima sesi, destinasi dalam senarai berpecah, dan sumber yang dibenarkan dicapai oleh pengguna. Keempat-empatnya menjelaskan di mana trafik dikawal tanpa mengubah senarai laluan menjadi tembok api.
Jika perkhidmatan masih menolak selepas penapis membenarkannya, beralih ke hos: alamat mendengar, tembok api hos dan pemetaan pengguna aplikasi itu sendiri. Terowong telah menjalankan tugasnya pada ketika itu, dan perubahan ASA selanjutnya hanya menambah risiko.