VPN bejn is-siti jaħdem, imma l-logs tal-ASA ma jaslux: iċċekkja l-indirizz tas-sors

Hosts interni jaslu għall-kollettur remot u l-linji syslog tagħhom jidhru. Il-messaġġi tal-ASA stess dwar dawk l-istess sessjonijiet qatt ma jaslu. La l-kollettur u lanqas it-tunnel m’għandhom problema, u dan huwa l-parti konfuża. Il-firewall qed jibgħat il-logs tiegħu minn sors li t-tunnel qatt ma nbnena biex jipproteġih.

X’jasal u x’ma jaslx

Ibda billi tifred żewġ flussi li fuq dashboard jidhru identiċi. It-traffiku mgħoddi jgħaddi mill-ASA: host LAN jibgħat lill-kollettur, l-ASA tqabblu mal-politika tat-tunnel, tikkriptah, u l-kollettur jara l-indirizz tal-host. It-traffiku ġġenerat jibda fuq l-ASA stess: l-apparat jibni pakkett syslog, jagħżel interface tal-ħruġ u sors, u biss wara jistaqsi jekk taqbilx xi politika tat-tunnel. L-ewwel fluss jipprova li t-tunnel jaħdem, u ma jgħid xejn dwar it-tieni.

Avveniment ibbufferjat fuq l-apparat lanqas huwa prova ta’ twassil remot, għax il-log jista’ jeżisti lokalment u qatt ma jintbagħat. Iċċekkja l-kontaturi tal-wasla tal-kollettur qabel ma tagħti l-ħtija lit-tunnel, għax kontatur vojt huwa sejba differenti minn wieħed li jikber.

Messaġġ iġġenerat mhuwiex traffiku mgħoddi

Meta l-ASA tiġġenera pakkett hija stess, mhijiex qed tagħmel prokura għal host LAN. Is-sors jiġi mill-interface tal-ħruġ jew minn setting tas-sors espliċitu, u l-pakkett jidħol fl-istess tfittxija tar-rotta u fl-istess kontrolli tal-politika bħal kull ħaġa oħra li tibgħat l-apparat. Dan ifisser li s-selettur tal-VPN irid jinkludi l-indirizz li l-ASA tassew tuża, u dan spiss hija l-interface ta’ barra tagħha u mhux subnetwork interna.

Jekk il-politika tipproteġi 10.20.0.0/24 u l-ASA tuża l-indirizz ta’ barra tagħha bħala sors, il-pakkett tal-log jew joħroġ f’test ċar lejn kollettur li ma jistax jilħaq, jew jiġi mwarrab. Iż-żewġ riżultati jidhru identiċi min-naħa tal-kollettur. L-istess raġunament japplika għat-traffiku tal-ġestjoni, u għalhekk management-access hija deċiżjoni tad-disinn separata.

Liema sors l-ASA tqiegħed fuq in-network

Sib is-sors b’mod empiriku u mhux b’suppożizzjoni. Qabda fuq l-interface tal-ħruġ waqt messaġġ ta’ prova turi s-sors u d-destinazzjoni reali, u tieħu inqas ħin milli taqra tliet sezzjonijiet tal-konfigurazzjoni. Qabbel dak l-indirizz mas-selettur lokali tat-tunnel.

Xi rilaxxi jħalluk torbot is-sors tal-log ma’ interface, u r-referenza tal-kmand għall-verżjoni tiegħek hija l-awtorità dwar jekk dik l-għażla teżistix u x’tbiddel. Kmand source-interface minn pjattaforma Cisco oħra mhuwiex awtomatikament validu fuq ASA.

Jekk tbiddel is-sors, agħmel dan deliberatament u nnotah, għax l-ACLs tal-kollettur u kull korrelazzjoni mibnija fuq syslog jiddependu minnu.

Qabbel is-selettur mal-fluss tal-log

Ladarba s-sors ikun magħruf, iċċekkja tliet affarijiet fl-ordni: l-ACL tal-kriptaġġ jew is-selettur ibbażat fuq il-politika li jiddeċiedi liema traffiku hu interessanti, ir-rotta li tiddeċiedi fejn imur il-pakkett, u kull regola NAT li tista’ terġa’ tikteb is-sors qabel il-kriptaġġ. Pakkett li jaqbel mar-rotta imma mhux mas-selettur ma jiġix ittunneljat, u pakkett miktub mill-ġdid minn NAT jista’ ma jaqbilx ma’ ebda wieħed.

In-naħa tal-kollettur għandha rekwiżiti tagħha: ACL li tippermetti s-sors tal-ASA, rotta lura u servizz li jisma’ fuq il-port li kkonfigurajt. It-trasport jgħodd hawn ukoll, għax il-logging TCP u TLS iġib ruħu b’mod differenti mill-UDP fuq passaġġ imblukkat parzjalment. Ibdel element wieħed kull darba, inkella l-qabda li jmiss ma tgħidlekx liema bidla kienet importanti.

Ivverifika fil-kollettur, imbagħad innota s-sors

Ikkonferma li l-messaġġ jasal, imbagħad innota l-indirizz tas-sors li użat l-ASA, is-selettur li ġarrha u s-serjetà li b’ha ttastjajt.

Dak ir-rikord jagħmel il-bidla li jmiss tal-ACL tal-kollettur jew l-editjar tas-selettur verifika ta’ żewġ minuti minflok skoperta mill-ġdid. Jiddokumenta wkoll liema miż-żewġ flussi qatt ġie vvalidat, u din hija l-parti li ħafna runbooks iħallu barra. Jekk il-messaġġ xorta ma jaslx, naqqas temporanjament l-limitu tas-serjetà u ttestja kontra destinazzjoni waħda.

Il-FAQ dwar il-logging tal-ASA ta’ Cisco jiddokumentaw każ b’sors ta’ barra li jeħtieġ id-definizzjoni korrispondenti tat-traffiku protett, u l-eżempju tagħhom b’sors intern jinkludi kemm host tal-logging fuq ġewwa kif ukoll management-access fuq ġewwa. Ittratta l-kombinazzjoni dokumentata u l-kuntest tas-software flimkien, minflok ma tassumi li linja kkupjata waħda taqbel ma’ kull konfigurazzjoni.

Tunnel li jġorr traffiku LAN mhuwiex tunnel li jġorr il-vuċi tal-firewall innifsu.