Arvar eit VPN-undernett sikkerheitsnivået til ASA-grensesnittet?

Eit dekryptert VPN-undernett arvar aldri sikkerheitsnivået til eit grensesnitt. Kontroller sysopt connection permit-vpn, gruppefilteret og administrasjonstilgang kvar for seg.

Nokon spør om VPN-undernettet til filialen har «sikkerheitsnivå 0 eller 100» på ASA-en, og spørsmålet inneheld allereie feilen. Sikkerheitsnivå er ein eigenskap ved eit lokalt grensesnitt og blir tildelt 0 til 100 i grensesnittkonfigurasjonen. Eit eksternt undernett som kjem gjennom ein tunnel får ikkje noko, uansett korleis crypto map er skrive. Difor har spørsmålet ikkje noko numerisk svar.

Det praktiske oppfølgingsspørsmålet er betre: kva politikk slepp filialen til serveren, og kva held henne borte frå brannmuren sjølv. Det er to svar, og prosedyren nedanfor skil dei.

Sikkerheitsnivå høyrer til grensesnitt

Køyr show running-config interface, og du vil sjå security-level under kvart fysiske grensesnitt eller VLAN-grensesnitt, ikkje under tunnelgruppa eller crypto map. Standardløyvet frå høgare til lågare blir vurdert mellom desse grensesnitta, og difor endrar talet inspeksjons- og implisitt-ACL-åtferda på banen det høyrer til.

For ein dekryptert VPN-straum er inngangen framleis det ytre grensesnittet der tunnelen sluttar, og utgangen er det indre grensesnittet mot serveren. Skriv ned båe før du rører noko. Det eine trinnet fjernar det meste av forvirringa, fordi det gjer eit abstrakt tillitsspørsmål om til eit grensesnittpar.

ACL-omgåinga har ei namngitt grense

sysopt connection permit-vpn er innstillinga folk hugsar halvvegs når dei seier at VPN-trafikk ignorerer ACL-ar. Ho hoppar riktignok over grensesnitt-ACL-en for trafikk som kvalifiserer som VPN-trafikk, og parameterrettleiinga for 9.x avgrensar henne per grensesnitt og retning i staden for å erklære eit globalt unntak.

Kontroller kva som er konfigurert før du resonnerer frå minnet:

  • show running-config all sysopt for å sjå den effektive verdien, ikkje berre linjene som ikkje er standard.
  • show running-config access-group for å sjå kva ACL som er brukt på kva grensesnitt og retning.
  • show vpn-sessiondb detail l2l for å stadfeste kva tunnelgruppe og filter sesjonen faktisk brukar.

Å slå av denne innstillinga for å stramme inn VPN-tilgang er ei endring med stor rekkjevidde. Ho legg igjen kvar kvalifiserte VPN-straum under den ytre ACL-en, noko som vanlegvis øydelegg fungerande tunnelar på måtar som ikkje har noko med filialen du vart spurd om å gjere.

Les filteret som er knytt til sesjonen

Den eigentlege styringa per tunnel er VPN-filteret: ein ACL som ein gruppepolitikk eller eit brukarnamn viser til, brukt etter dekryptering og før kryptering. Eit filter på brukarnivå overstyrer verdien på gruppenivå, så to personar i same tunnelgruppe kan ha ulik effektiv tilgang.

Stadfest forrangen i staden for å anta han. show running-config group-policy <name> viser gruppeverdien, og show running-config username <name> viser om det finst ein verdi per brukar. Viss båe finst, vinn brukarverdien. Samanlikn deretter oppføringane i den ACL-en med straumen du bryr deg om, i retninga filteret vurderer.

Eit filter som tillèt applikasjonsserveren, seier ingenting om administrasjon. Det er separate reglar på ein separat bane.

Stadfest éi løyve og éi avvising

Packet-tracer er den raskaste måten å sjå avgjerda på utan å vente på at ein brukar rapporterer henne. Gje det straumen frå den dekrypterte sida, og la det namngje ACL-, NAT- og inspeksjonstrinna det passerer.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Les resultatlinja: ho namngjev ACL-en som tillét eller slapp pakken.
  3. Gjenta med administrasjonsdestinasjonen på det indre grensesnittet og stadfest ei avvising.
  4. Gjenta ein gong til etter kvar endring, slik at både tilstanden før og etter blir registrert.

Deretter stadfest med verkeleg trafikk: éin vellukka applikasjonsførespurnad frå filialen og eitt mislukka SSH-forsøk mot ASA-en. Packet-tracer modellerer banen; ein levande straum beviser at modellen stemte.

Rull tilbake endringa som fekk det til å verke

Viss rettinga var å deaktivere ACL-omgåinga eller utvide eit filter, hald på den førre konfigurasjonen. Eit show run-opptak av dei berørte objekta, lagra før endringa, er nok til å gjenopprette dei; ASA-konfigurasjon er linjeorientert, så tilbakerulling tyder å skrive inn dei gamle linjene på nytt, ikkje å gjenopprette ei fil.

Noter grensesnittparet, det effektive filteret, ACL-namnet frå packet-tracer og dei nøyaktige kommandoane du endra. Den registreringa gjer neste gjennomgang til ein fem-minutts sjekk i staden for nok ein debatt om tillitsnivå.

Relaterte artiklar