Liema regola tal-ASA tara t-traffiku wara li l-VPN jiddekodifikah

L-ewwel suppożizzjoni li trid titwarrab hija li l-ACL tal-kripta hija politika ta' aċċess. Mhijiex. Fuq Cisco ASA dik il-lista twieġeb mistoqsija waħda dejqa: liema pakketti jistħoqqilhom protezzjoni, u dik it-tweġiba ma tgħid xejn dwar jekk il-pakkett dekodifikat jistax jasal għas-server wara l-firewall. L-aċċess jiġi deċiż aktar tard, permezz ta' politika tal-interface, permezz ta' filter tal-politika tal-grupp, jew it-tnejn, skont kif inbena t-tunnel.

L-ACL tal-kripta twieġeb mistoqsija differenti

L-ACL tal-kripta hija lista ta' tqabbil. Tgħid lit-tunnel x'għandu jiġi kkodifikat bejn żewġ pari; pakkett li ma jaqbilx magħha sempliċement mhuwiex protett. It-twessigħ tagħha jbiddel l-ambitu tal-protezzjoni u xejn aktar.

Għalhekk iż-żieda ta' subnetwork hemmhekk tista' tnejjeg tunnel waqt li l-applikazzjoni proprja għadha tfalli. It-tunnel qiegħed għoli għax issa teżisti tqabbila. L-applikazzjoni għadha tfalli għax xejn f'dik il-lista ma jippermetti xejn. Żewġ mistoqsijiet differenti, żewġ listi differenti.

X'inhu li l-konfigurazzjoni tal-bypass tiskarta tassew

sysopt connection permit-vpn tħalli t-traffiku protett jaqbez il-verifika tal-ACL tal-interface li kieku kienet tapplika fuq in-naħa tad-dħul. Hija kumdità għall-varar tal-VPN, u hija globali. Ma tmissx il-politika tal-grupp, u ma tmissx filter ta' awtorizzazzjoni għal kull utent.

Aqra l-valur veru minflok is-suppożizzjoni: show running-config all sysopt jistampa l-konfigurazzjoni anki meta qatt ma ġiet konfigurata b'mod espliċitu, u minn hemm tibda ħafna konfużjoni.

Billi l-konfigurazzjoni hija globali, l-ittestjar tagħha bħala esperiment mgħaġġel fuq subnetwork wieħed li qed ifalli huwa skambju ħażin. Kull tunnel ieħor fuq dak il-firewall jaqsam ir-riżultat. Żommha għal bidla deliberata b'pjan ta' rkupru.

Aqra l-filter fid-direzzjoni tad-dekodifikar

L-vpn-filter LAN-to-LAN jinkiteb mill-perspettiva tat-tunnel, mhux tal-interface. In-netwerk remot imur fil-pożizzjoni tas-sors u n-netwerk lokali fil-pożizzjoni tad-destinazzjoni, għax hekk jidher il-pakkett wara d-dekodifikar. L-istess filter imbagħad jiġi evalwat mill-ġdid fid-direzzjoni opposta qabel il-kodifikar, bir-rwoli tal-indirizzi maqlubin.

Il-kundizzjonijiet tal-port jistħoqqilhom aktar attenzjoni minn ACL tal-interface ikkupjat propju għal dak ir-raġuni. Regola li tippermetti port tad-destinazzjoni wieħed tista' jkollha effett mhux intenzjonat fid-direzzjoni inversa, fejn konnessjoni ġdida tuża dak il-port bħala s-sors tagħha. Ikteb liema naħa tista' tibda, is-servizz proprju, u l-kontroparti li trid tibqa' magħluqa qabel ma tibni l-lista.

Ikkonferma liema filter huwa tassew imqabbad: show running-config group-policy u show vpn-sessiondb detail l2l flimkien jgħidulek x'wirtet is-sessjoni. L-editjar ta' ACL li għalih ma tirreferix ebda politika ma jbiddel xejn.

Tużax mill-ġdid oġġett ACL wieħed għal żewġ xogħlijiet

L-access-group tal-interface u l-vpn-filter jidhru bħall-istess tip ta' oġġett u jiġu evalwati f'punti differenti b'orjentazzjoni tal-indirizz differenti. L-għoti ta' lista waħda lit-tnejn jistieden bidla li tissewwi t-tunnel u tħoll bil-kwiet l-interface fiżika.

Żommhom separat, semmihom skont ix-xogħol tagħhom, u ħalli d-differenza fid-direzzjoni tidher fl-ismijiet.

Ivverifika b'konnessjonijiet ġodda, fiż-żewġ direzzjonijiet

Wara bidla ppjanata, iftaħ konnessjoni ġdida waħda li għandha tiġi permessa u konnessjoni ġdida waħda li għandha tiġi miċħuda, imbagħad innota l-indirizzi, id-direzzjoni u t-tqabbila tal-politika flimkien mar-riżultat. Sessjoni stabbilita ma tippruvax xejn dwar il-filtraġġ ta' konnessjonijiet ġodda, għax diġà ġiet ammessa taħt ir-regoli l-qodma.

Ikkunsidra wkoll l-ispezzjoni. Id-dokumentazzjoni tal-fornitur tinnota li filter VPN jiċċekkja l-konnessjoni inizjali u mhux kull konnessjoni sekondarja li tiftaħ magna ta' spezzjoni, għalhekk kanal ta' kontroll u l-fluss tal-midja relatat tiegħu jistgħu jirċievu trattament differenti. Jekk l-applikazzjoni taf il-protokoll, ipprova l-fluss proprju minflok sonda waħda tal-port.

Tunnel li jsir użabbli wara bypass wiesa' jgħidlek li r-restrizzjoni tneħħiet, mhux li ġiet sodisfatta. Ir-riżultat li jiswa' jinżamm huwa punt ta' infurzar bl-isem li tista' tindika lejh fil-verifika li jmiss.