VPN mellom lokasjonar fungerer, men ASA-loggene kjem ikkje: kontroller kjeldeadressa

Interne vertar når den eksterne samlaren, og syslog-linjene deira dukkar opp. Meldingane til ASA-en sjølv om dei same sesjonane kjem aldri fram. Det er ikkje noko gale med samlaren eller med tunnelen, og det er det forvirrande. Brannmuren sender loggane sine frå ei kjelde som tunnelen aldri vart bygd for å verne.

Kva som kjem fram, og kva som ikkje gjer det

Byrja med å skilje to straumar som ser identiske ut på eit dashbord. Vidaresend trafikk går gjennom ASA-en: ein LAN-vert sender til samlaren, ASA-en matchar det mot tunnelpolicyen, krypterer det, og samlaren ser adressa til verten. Generert trafikk startar på ASA-en sjølv: boksen byggjer ein syslog-pakke, vel eit utgangsgrensesnitt og ei kjelde og spør først deretter om nokon tunnelpolicy passar. Den første straumen beviser at tunnelen verkar, og han seier ingenting om den andre.

Ei bufra hending på eininga er heller ikkje bevis på ekstern levering, fordi loggen kan finnast lokalt og aldri ha vorte send. Kontroller mottaksteljarane til samlaren før du klandrar tunnelen, fordi ein tom teljar er eit anna funn enn ein som veks.

Ei generert melding er ikkje vidaresend trafikk

Når ASA-en sjølv lagar ein pakke, proxyar han ikkje for ein LAN-vert. Kjelda kjem frå utgangsgrensesnittet eller frå ei eksplisitt kjeldeinnstilling, og pakken går gjennom same rutesøk og same policykontrollar som alt anna boksen sender. Det tyder at VPN-selektoren må innehalde adressa ASA-en faktisk brukar, og det er ofte grensesnittet på utsida framfor eit internt subnett.

Viss policyen vernar 10.20.0.0/24 og ASA-en brukar den eksterne adressa si som kjelde, forlèt loggpakken anten i klartekst mot ein samlar han ikkje kan nå, eller han vert droppa. Begge utfalla ser identiske ut frå samlarsida. Same resonnementet gjeld for administrasjonstrafikk, og difor er management-access ei eiga designavgjerd.

Kva kjelde ASA-en set på linja

Finn kjelda empirisk i staden for ved antaking. Eit opptak på utgangsgrensesnittet under ei testmelding viser den faktiske kjelda og destinasjonen, og det kostar mindre tid enn å lese tre konfigurasjonsavsnitt. Samanlikn den adressa med den lokale selektoren til tunnelen.

Nokre versjonar lèt deg feste loggkjelda til eit grensesnitt, og kommandoreferansen for versjonen din er autoriteten på om det valet finst og kva det endrar. Ein source-interface-kommando frå ein annan Cisco-plattform er ikkje automatisk gyldig på ein ASA.

Viss du endrar kjelda, gjer det medvite og noter det, fordi ACL-ane til samlaren og all korrelasjon bygd på syslog er avhengige av henne.

Tilpass selektoren til loggstraumen

Når kjelda er kjend, kontroller tre ting i rekkjefølgje: krypto-ACL-en eller den policybaserte selektoren som avgjer kva trafikk som er interessant, ruta som avgjer kvar pakken går, og kvar NAT-regel som kan skrive om kjelda før kryptering. Ein pakke som passar med ruta men ikkje med selektoren vert ikkje tunellert, og ein pakke som NAT skriv om passar kanskje ikkje med nokon av dei.

Samlarsida har sine eigne krav: ein ACL som tillèt kjelda til ASA-en, ei returrute og ein lyttande teneste på porten du konfigurerte. Transport tyder noko her òg, fordi TCP- og TLS-logging oppfører seg annleis enn UDP på ein delvis blokkert veg. Endre eitt element om gongen, elles vil det neste opptaket ikkje fortelje deg kva endring som betydde noko.

Verifiser hos samlaren, og noter deretter kjelda

Stadfest at meldinga kjem fram, og skriv deretter ned kjeldeadressa ASA-en brukte, selektoren som bar henne og alvorsgraden du testa med.

Den registreringa gjer den neste ACL-endringa eller selektorredigeringa på samlaren til ein tominutts sjekk i staden for ei gjenoppdaging. Ho dokumenterer òg kva av dei to straumane som nokon gong vart validert, og det er den delen dei fleste runbooks utelèt. Viss meldinga framleis ikkje kjem fram, senk alvorsgradsterskelen mellombels og test mot ein einaste destinasjon.

Cisco FAQ om ASA-logging dokumenterer eit tilfelle med ekstern kjelde som krev den tilsvarande definisjonen av verna trafikk, og dømet med intern kjelde omfattar både ein loggvert på innsida og management-access på innsida. Handsame den dokumenterte kombinasjonen og programvarekonteksten saman i staden for å anta at éi kopiert linje passar til kvar konfigurasjon.

Ein tunnel som ber LAN-trafikk er ikkje ein tunnel som ber den eigne stemma til brannmuren.