Is-subnet VPN jiret il-livell ta’ sigurtà tal-interface ASA?

Subnet VPN deċifrat qatt ma jiret il-livell ta’ sigurtà ta’ interface. Iċċekkja sysopt connection permit-vpn, il-filter tal-grupp u l-aċċess tal-amministrazzjoni separatament.

Xi ħadd jistaqsi jekk is-subnet VPN tal-fergħa għandux «livell ta’ sigurtà 0 jew 100» fuq l-ASA, u l-mistoqsija diġà fiha l-iżball. Il-livell ta’ sigurtà hija proprjetà ta’ interface lokali, u jiġi assenjat minn 0 sa 100 fil-konfigurazzjoni tal-interface. Subnet remot li jasalt permezz ta’ tunnel ma jakkwistax wieħed, kif inhu miktub il-crypto map. Għalhekk il-mistoqsija m’għandhiex tweġiba numerika.

Il-mistoqsija prattika li jmiss hija aħjar: liema politika tammetti l-fergħa lejn is-server, u liema żżommha ’l bogħod mill-firewall innifsu. Dawn huma żewġ tweġibiet, u l-proċedura hawn taħt tifridhom.

Il-livelli ta’ sigurtà jappartjenu lill-interfaces

Esegwi show running-config interface u se tara security-level taħt kull interface fiżiku jew interface VLAN, mhux taħt il-grupp tat-tunnel jew il-crypto map. Il-permess awtomatiku minn ogħla għal isfel jiġi evalwat bejn dawk l-interfaces, u għalhekk in-numru jibdel l-imġiba tal-ispezzjoni u tal-ACL impliċita fuq il-passaġġ li jappartjeni għalih.

Għal fluss VPN deċifrat, id-dħul għadu l-interface outside fejn jintemm it-tunnel, u l-ħruġ huwa l-interface inside lejn is-server. Ikteb it-tnejn qabel ma tmiss xejn. Dak il-pass wieħed ineħħi l-biċċa l-kbira tal-konfużjoni, għax ibiddel mistoqsija astratta ta’ fiduċja f’par ta’ interfaces.

Il-bypass tal-ACL għandu fruntiera bl-isem

sysopt connection permit-vpn hija s-setting li n-nies jiftakru nofsha meta jgħidu li t-traffiku VPN jinjora l-ACLs. Hija tassew taqbeż l-ACL tal-interface għat-traffiku li jikkwalifika bħala traffiku VPN, u l-gwida tal-parametri 9.x tillimitaha skont l-interface u d-direzzjoni minflok ma tiddikjara eċċezzjoni globali.

Iċċekkja x’inhu konfigurat qabel ma tarraġuna mill-memorja:

  • show running-config all sysopt biex tara l-valur effettiv, mhux biss il-linji li mhumiex awtomatiċi.
  • show running-config access-group biex tara liema ACL hija applikata għal liema interface u direzzjoni.
  • show vpn-sessiondb detail l2l biex tikkonferma liema grupp tat-tunnel u liema filter qed juża tassew is-sessjoni.

Li tintefa’ din is-setting biex issaħħaħ l-aċċess VPN hija bidla b’impatt kbir. Hija terġa’ tissottometti kull fluss VPN kwalifikat lill-ACL ta’ barra, li normalment tkisser tunnels li jaħdmu b’modi mhux relatati mal-fergħa li ntalabt dwarha.

Aqra l-filter imwaħħal mas-sessjoni

Il-kontroll veru għal kull tunnel huwa l-filter VPN: ACL li tirreferi għaliha l-politika tal-grupp jew l-isem tal-utent, applikata wara d-deċifrar u qabel l-encryption. Filter fil-livell tal-utent jegħleb il-valur fil-livell tal-grupp, għalhekk żewġ persuni fl-istess grupp tat-tunnel jista’ jkollhom aċċess effettiv differenti.

Ikkonferma l-preċedenza minflok ma tassumiha. show running-config group-policy <name> juri l-valur tal-grupp, u show running-config username <name> juri jekk jeżistix valur għal kull utent. Jekk jeżistu t-tnejn, jirbaħ il-valur tal-utent. Imbagħad qabbel id-dħul ta’ dik l-ACL mal-fluss li jinteressak, fid-direzzjoni li tevalwa l-filter.

Filter li jippermetti s-server tal-applikazzjoni ma jgħid xejn dwar l-amministrazzjoni. Dawk huma regoli separati fuq passaġġ separat.

Ivverifika permess wieħed u ċaħda waħda

Packet-tracer huwa l-aktar mod mgħaġġel biex tara d-deċiżjoni mingħajr ma tistenna li utent jirrapportaha. Agħtih il-fluss min-naħa deċifrata u ħallih isemmi l-istadji tal-ACL, NAT u spezzjoni li jgħaddi minnhom.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Aqra l-linja tar-riżultat: hija ssemmi l-ACL li ppermettiet jew warrbet il-pakkett.
  3. Irrepeti bid-destinazzjoni amministrattiva fuq l-interface inside u kkonferma ċaħda.
  4. Irrepeti darba oħra wara kull bidla, sabiex kemm l-istat qabel kif ukoll dak wara jiġu rreġistrati.

Imbagħad ivverifika b’traffiku reali: talba tal-applikazzjoni waħda li rnexxiet mill-fergħa u prova SSH waħda li falliet lejn l-ASA. Packet-tracer jimmodella l-passaġġ; fluss ħaj jipprova li l-mudell qabel.

Erġa’ lura l-bidla li għamlitu jaħdem

Jekk il-fix kien li tintefa’ l-bypass tal-ACL jew li twessa’ filter, żomm il-konfigurazzjoni preċedenti. Qabda show run tal-oġġetti affettwati, salvata qabel il-bidla, biżżejjed biex terġa’ tistabbilixxihom; il-konfigurazzjoni ASA hija orjentata lejn linji, għalhekk it-treġġigħ lura jfisser li terġa’ ddawwal il-linji qodma, mhux li tirrestawra fajl.

Irreġistra l-par ta’ interfaces, il-filter effettiv, l-isem tal-ACL minn packet-tracer u l-kmandi eżatti li biddilt. Dik ir-reġistrazzjoni tibdel ir-reviżjoni li jmiss f’verifika ta’ ħames minuti minflok dibattitu ieħor dwar il-livelli ta’ fiduċja.

Artikli relatati