Għaliex utent remot ta' ASA jasal għas-subnet imma mhux għall-app
Ir-rotot juru li l-mina taħdem, mhux li l-utent jista' jiftaħ l-app. Aqra l-filtru li rċeviet is-sessjoni, imbagħad ipprova konnessjoni permessa u waħda miċħuda.
L-utent tiegħek jikkonnettja, jieħu indirizz, jagħmel ping lil server fis-subnet tal-app, u xorta ma jistax jiftaħ is-servizz fuqha. Din il-kombinazzjoni hija normali fuq ASA, għax mina b'suċċess u permess użabbli jiġu deċiżi minn settijiet differenti. Il-lista tal-mina maqsuma għażlet liema destinazzjonijiet daħlu fil-mina; filtru VPN u r-regoli tal-aċċess tad-destinazzjoni nnifisha jiddeċiedu x'jista' jilħaq it-talba deċifrata. Għaddi mit-tliet deċiżjonijiet bl-ordni minflok tespandi l-lista tar-rotot sakemm jinbidel xi ħaġa.
Tliet deċiżjonijiet li faċli jiġu konfużi
L-ammissjoni twieġeb jekk l-utent jistax jibni l-mina xejn: kredenzjali, ċertifikat u kwalunkwe it-tieni fattur. L-għażla tar-rotta twieġeb liema destinazzjonijiet il-klijent jibgħat f'dik il-mina. L-awtorizzazzjoni twieġeb jekk it-talba deċifrata tistax tilħaq is-servizz. It-tielet waħda biss tipproduċi l-iżball li jirrapporta l-utent.
Mod mgħaġġel biex tiddistingwihom huwa li tistaqsi x'ikisser bidla. It-tneħħija ta' rotta mil-lista maqsuma twaqqaf it-traffiku lejn dik is-subnet mingħajr ma tagħti xejn; iż-żieda ta' ACE mal-filtru VPN tagħti destinazzjoni mingħajr ma tbiddel dak li l-klijent jimmina.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Aqra l-filtru li s-sessjoni fil-fatt irċeviet
Ibda mis-sessjoni ħajja u mhux mill-konfigurazzjoni li taħseb li tapplika. show vpn-sessiondb detail anyconnect jipprintja l-politika tal-grupp assenjata u l-isem tal-filtru mehmuż ma' dik is-sessjoni. Jekk il-qasam huwa vojt, l-ebda filtru mhu qed iħaddem xejn u l-blokk ġej minn x'imkien ieħor.
Imbagħad aqra l-politika li għandha l-valur, inklużi l-valuri prestabbiliti, għax filtru jista' jiġi wirt minflok miktub fejn qed tħares:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Qabbel l-isem tal-filtru fuq is-sessjoni mal-ACL li għadek kemm editjajt. ACL b'isem simili li l-utent qatt ma rċieva ma jistax ibiddel il-politika tar-riżorsi ta' dik is-sessjoni, u din hija l-aktar raġuni komuni għaliex bidla li tidher korretta ma jkollhiex effett.
Il-preċedenza tispjega l-bqija. Għas-setting tal-filtru, rekord DAP jgħaddi fuq l-attributi tal-isem tal-utent, u l-attributi tal-isem tal-utent jgħaddu fuq il-politika tal-grupp. Meta sessjoni turi filtru li ma kontx qed tistenna, fittex politika DAP li taqbel ma' dak l-utent qabel ma tmiss il-grupp.
Il-lista maqsuma u l-filtru huma oqsma separati
Fuq ASA 9.x il-politika tal-grupp iżżomm split-tunnel-network-list u vpn-filter bħala settijiet differenti, u l-gwida tal-politika tal-grupp 9.22 tiddokumentahom separatament għalhekk. Il-lista tan-netwerk hija ħjiel ta' routing lill-klijent; il-filtru hija lista tal-kontroll tal-aċċess applikata lit-traffiku deċifrat.
Dik id-distinzjoni hija importanti meta utent jeħtieġ servizz wieħed HTTPS fuq subnet. Poġġi s-subnet fil-lista maqsuma biex il-pakketti jidħlu fil-mina, imbagħad ippermetti biss dak is-servizz fil-filtru. L-espansjoni tal-lista tar-rotot ma tawtorizza xejn, u ċċekkinha mhix mekkaniżmu ta' infurzar.
Iċċekkja jekk ACL tal-interface huwiex saħansitra fil-passaġġ
It-traffiku deċifrat tal-aċċess remot mhux dejjem jgħaddi mill-ACL tal-interface ta' barra kif jassumu n-nies. Fejn sysopt connection permit-vpn hija attivata, l-ASA tapplika l-qbiż tal-VPN iddokumentat tagħha għal dak it-traffiku, filwaqt li l-filtri VPN applikabbli għadhom japplikaw wara. Iċċekkja s-setting bl-istruzzjoni show run all sysopt minflok ma tiddeduċi mid-dijagramma tat-topoloġija.
B'xi mod, il-firewall tal-host tad-destinazzjoni nnifsu u l-awtorizzazzjoni tal-app jibqgħu fil-passaġġ. Regola tal-ASA li tippermetti TCP 443 ma tagħmilx lill-app taċċetta lill-utent.
Aċċetta l-bidla wkoll b'konnessjoni miċħuda
Test permess waħdu jipprova ftit ħafna, għax mina li taħdem tipproduċi l-istess pakkett ewwel kemm jekk ikun hemm filtru kif ukoll jekk le. Iftaħ is-servizz maħsub mill-klijent, imbagħad ipprova destinazzjoni li għandha tibqa' magħluqa u kkonferma li tfalli għar-raġuni t-tajba.
Irreġistra erba' fatti meta tagħlaq it-ticket: l-identità ammessa, il-politika u l-filtru li s-sessjoni fil-fatt irċeviet, id-destinazzjonijiet fil-lista maqsuma, u r-riżors li l-utent kien permess jasal għalih. Dawk l-erbgħa jispjegaw fejn it-traffiku huwa kkontrollat mingħajr ma tinbidel lista tar-rotot fi firewall.
Jekk is-servizz għadu jirrifjuta wara li l-filtru jippermettih, mur għall-host: indirizz tas-smigħ, firewall tal-host u l-immappjar tal-utenti tal-app stess. Il-mina għamlet xogħolha f'dak il-punt, u aktar bidliet fl-ASA jżidu biss ir-riskju.