Welke ASA-regel ziet het verkeer nadat de VPN het heeft ontsleuteld

De eerste aanname die je moet laten vallen, is dat de crypto-ACL een toegangsbeleid is. Dat is hij niet. Op een Cisco ASA beantwoordt die lijst één smalle vraag: welke pakketten verdienen bescherming, en dat antwoord zegt niets over de vraag of het ontsleutelde pakket de server achter de firewall mag bereiken. Toegang wordt later bepaald, door een interfacebeleid, door een groep-beleidsfilter of door beide, afhankelijk van hoe de tunnel is gebouwd.

De crypto-ACL beantwoordt een andere vraag

Een crypto-ACL is een overeenkomstenlijst. Hij vertelt de tunnel wat er tussen twee peers versleuteld moet worden; een pakket dat er niet mee overeenkomt, is simpelweg niet beschermd. Hem verbreden verandert de reikwijdte van de bescherming en niets anders.

Daarom kan het toevoegen van een subnet daar een tunnel opzetten terwijl de eigenlijke toepassing nog steeds faalt. De tunnel staat omdat er nu een overeenkomst is. De toepassing faalt nog steeds omdat niets op die lijst iets toestaat. Twee verschillende vragen, beantwoord door twee verschillende lijsten.

Wat de bypass-instelling werkelijk overslaat

sysopt connection permit-vpn laat beschermd verkeer de interface-ACL-controle overslaan die anders aan de inkomende kant zou gelden. Het is een gemak voor VPN-implementaties, en het is globaal. Het raakt het groepbeleid niet en het raakt een autorisatiefilter per gebruiker niet.

Lees de werkelijke waarde in plaats van de aanname: show running-config all sysopt drukt de instelling af zelfs wanneer zij nooit expliciet is geconfigureerd, en daar begint veel verwarring.

Omdat de instelling globaal is, is het een slechte ruil om haar als snel experiment op één falend subnet te testen. Elke andere tunnel op die firewall deelt het resultaat. Bewaar haar voor een bewuste wijziging met een terugdraaiplan.

Lees het filter in de ontsleutelde richting

Een LAN-to-LAN vpn-filter wordt vanuit het perspectief van de tunnel geschreven, niet dat van de interface. Het externe netwerk staat op de bronpositie en het lokale netwerk op de bestemmingspositie, omdat het pakket er na ontsleuteling zo uitziet. Hetzelfde filter wordt daarna vóór versleuteling opnieuw in de tegenovergestelde richting geëvalueerd, met de adresrollen omgekeerd.

Poortvoorwaarden verdienen meer zorg dan een gekopieerde interface-ACL, precies daarom. Een regel die één bestemmingspoort toestaat, kan in de tegenovergestelde richting een onbedoeld effect hebben, waar een nieuwe verbinding die poort als bron gebruikt. Noteer welke kant mag initiëren, de werkelijke dienst en de tegenpartij die gesloten moet blijven voordat je de lijst bouwt.

Bevestig welk filter werkelijk is gekoppeld: show running-config group-policy en show vpn-sessiondb detail l2l vertellen samen wat de sessie heeft geërfd. Een ACL bewerken waarnaar geen beleid verwijst, verandert niets.

Hergebruik niet één ACL-object voor twee taken

Een interface-access-group en een vpn-filter lijken hetzelfde soort object en worden op verschillende punten met verschillende adresoriëntatie geëvalueerd. Eén lijst aan beide toewijzen nodigt uit tot een wijziging die de tunnel repareert en de fysieke interface stilletjes losser maakt.

Houd ze gescheiden, noem ze naar hun taak, en laat het verschil in richting zichtbaar zijn in de namen.

Verifieer met nieuwe verbindingen, in beide richtingen

Open na een geplande wijziging één nieuwe verbinding die moet worden toegestaan en één nieuwe verbinding die moet worden geweigerd, en noteer daarna de adressen, de richting en de beleidsmatch samen met het resultaat. Een bestaande sessie bewijst niets over het filteren van nieuwe verbindingen, want zij is al onder de oude regels toegelaten.

Reken ook op inspectie. De leveranciersdocumentatie merkt op dat een VPN-filter de eerste verbinding controleert en niet elke secundaire verbinding die een inspectie-engine opent, dus een controlekanaal en de bijbehorende mediastroom kunnen een andere behandeling krijgen. Als de toepassing het protocol kent, test dan de werkelijke stroom in plaats van één poortprobe.

Een tunnel die na een brede bypass bruikbaar wordt, vertelt je dat de beperking is verwijderd, niet dat eraan is voldaan. Het resultaat dat de moeite waard is om te bewaren, is een genoemd handhavingspunt waar je bij de volgende beoordeling naar kunt wijzen.