Għaliex it-talbiet TACACS+ tal-ASA jaqbeż it-tunnel VPN tal-fergħa tiegħek

It-tunnel tal-fergħa huwa attiv, l-utenti jawtentikaw mal-server TACACS+ remot, u l-login tal-firewall innifsu xorta jispiċċa f'timeout. Ir-raġuni mhix difett fit-tunnel: tunnel LAN-to-LAN iġorr it-traffiku li jaqbel mas-seletturi tiegħu, u t-traffiku tal-ġestjoni li l-ASA tiġġenera dwaru nnifsu huwa fluss separat b'indirizz tas-sors tiegħu stess. Il-biċċa l-kbira tat-timijiet jiskopru dan waqt tieqa ta' bidla, meta l-uniku kont amministrattiv huwa dak li qed ifalli. Ittratta s-sessjoni AAA li tibda l-ASA bħala fluss li trid tiddisinja, mhux bħala effett sekondarju ta' konnettività li diġà taħdem.

L-ASA huwa l-klijent, u t-traffiku tiegħu stess jeħtieġ triq tiegħu stess

Meta l-firewall jikkuntattja server TACACS+, il-firewall huwa klijent bħal kull ieħor, ħlief li ħadd ma kkonfigura rotta għalih apposta. Il-pakketti tiegħu joħorġu minn indirizz tal-interface fuq l-apparat, jiġu ġġenerati lokalment minflok mgħoddija, u jridu jiġu routed, tradotti u protetti bil-policy eżatt bħat-traffiku tal-utenti. Tunnel minn sit għal sit li jipproteġi subnet tal-utenti ma jipproteġix awtomatikament dak is-sors tal-ġestjoni, għax l-għażla tat-traffiku hija bbażata fuq indirizzi u mhux fuq intenzjoni.

Ikteb l-indirizz li tistenna li jara s-server. Jekk ma tistax tgħidu f'linja waħda, għadek m'għandekx disinn.

L-interface fil-linja aaa-server mhux ornament

Fuq l-ASA, id-dħul tal-host aaa-server jieħu assoċjazzjoni tal-interface fil-parentesi, u r-referenza tal-kmandi tal-host AAA ta' Cisco jiddeskriviha bħala l-interface fejn jinsab is-server tal-awtentikazzjoni. Dik l-assoċjazzjoni hija dik li torbot it-talba ma' interface u mal-policy li dak l-interface japplika. Jekk tagħżilha skont liema interface tħares lejn l-internet, jew tħalli dak li kien hemm mill-aħħar migrazzjoni, tipproduċi indirizz tas-sors li s-server remot u t-tunnel qatt ma nbnew għalih.

inside hija t-tweġiba t-tajba biss meta l-interface imsemmi jkollu l-indirizz li d-disinn tiegħek biħsiebu juża bħala sors. Fuq apparat tal-fergħa spiss huwa hekk; fuq apparat b'ħafna segmenti privati forsi le.

Bidla fl-assoċjazzjoni tfisser li terġa' toħloq id-dħul

L-istess referenza tal-kmandi tiddokumenta restrizzjoni tal-editjar li taqbad lin-nies waqt qbil: li tbiddel l-interface fuq host eżistenti teħtieġ li tneħħi u terġa' toħloq id-dħul tal-host. Konfigurazzjoni li tidher editjata forsi ma daħlitx fis-seħħ, u l-prova tal-login li jmiss xorta se titlaq mill-indirizz il-qadim. Ippjana dan bħala tħassir u żieda b'kopja tad-dħul oriġinali quddiemek, mhux bħala aġġustament fil-post.

Jekk huma definiti diversi servers, biddel wieħed u ttestjah qabel ma tmiss l-oħrajn, sabiex żball wieħed ma jissakkrax it-toroq amministrattivi kollha f'daqqa.

Iċċekkja s-seletturi, it-traduzzjoni u t-triq tar-ritorn flimkien

Tliet affarijiet iridu jaqblu biex it-talba tasal. Is-seletturi tat-traffiku tat-tunnel, jew il-protezzjoni tal-interface tat-tunnel jekk tuża waħda, iridu jinkludu s-sors tal-ASA stess u l-indirizz tas-server; lista ta' seletturi mibnija għal subnets tal-utenti normalment ma tagħmilx hekk. Kull regola NAT fit-triq trid tittraduċi dak is-sors b'mod konsistenti, għax is-server jawtorizza identità ta' apparat tan-netwerk li tinkludi l-indirizz li jara. U t-triq tar-ritorn trid teżisti, li fi tunnel ibbażat fuq il-policy tfisser li t-tarf imbiegħed għandu selettur li jaqbel fid-direzzjoni opposta.

Fuq in-naħa tas-server, ikkonferma l-identità tal-apparat, is-secret maqsum u l-policy amministrattiva separatament. TACACS+ iżomm l-awtentikazzjoni, l-awtorizzazzjoni u l-kontabilità bħala operazzjonijiet distinti, għalhekk ċaħda li tasal wara skambju mitmum hija tweġiba tal-policy, mhux falliment tat-trasport. Li taqraha bħala problema tan-netwerk tibgħat lilek tfittex fil-post żbaljat.

Żomm is-secret 'il barra minn qbid tal-pakketti, tickets u traskrizzjonijiet waqt li tkun qed tinnaviga, u ftakar li l-indirizz tas-sors li jirreġistra s-server huwa dak li d-disinn tiegħek irid jispjega.

Agħmel il-bidla mingħajr ma tissakkar barra

Uża console jew triq tal-ġestjoni indipendenti waqt li tbiddel l-awtentikazzjoni amministrattiva remota, u żomm fallback lokali approvat sakemm it-triq il-ġdida tkun ġarret login reali. Imbagħad ivvalida b'mod dejjaq: server wieħed, apparat wieħed, awtentikazzjoni waħda b'suċċess bl-indirizz tas-sors osservat fit-truf kollha.

Irreġistra l-fluss fuq il-paġna tiegħu stess: interface u indirizz tal-oriġini, server remot, triq protetta, u l-persuna li għandha l-policy tal-awtorizzazzjoni. Imbagħad bidla aktar tard fl-interface jew fit-tunnel tista' tiġi vvalutata mingħajr ma taqbeż liema miż-żewġ flussi taffettwa.