ਕੀ VPN ਸਬਨੈੱਟ ਨੂੰ ASA ਇੰਟਰਫ਼ੇਸ ਦਾ ਸੁਰੱਖਿਆ ਪੱਧਰ ਮਿਲਦਾ ਹੈ?

ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ VPN ਸਬਨੈੱਟ ਕਦੇ ਵੀ ਇੰਟਰਫ਼ੇਸ ਦਾ ਸੁਰੱਖਿਆ ਪੱਧਰ ਵਿਰਾਸਤ ਵਿੱਚ ਨਹੀਂ ਪ੍ਰਾਪਤ ਕਰਦਾ। sysopt connection permit-vpn, ਗਰੁੱਪ ਫਿਲਟਰ ਅਤੇ ਪ੍ਰਬੰਧਨ ਪਹੁੰਚ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਜਾਂਚੋ।

ਕੋਈ ਪੁੱਛਦਾ ਹੈ ਕਿ ਕੀ ਬ੍ਰਾਂਚ ਦੇ VPN ਸਬਨੈੱਟ ਕੋਲ ASA ’ਤੇ «ਸੁਰੱਖਿਆ ਪੱਧਰ 0 ਜਾਂ 100» ਹੈ, ਅਤੇ ਸਵਾਲ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਗਲਤੀ ਹੈ। ਸੁਰੱਖਿਆ ਪੱਧਰ ਸਥਾਨਕ ਇੰਟਰਫ਼ੇਸ ਦੀ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਅਤੇ ਇੰਟਰਫ਼ੇਸ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ 0 ਤੋਂ 100 ਤੱਕ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਟਨਲ ਰਾਹੀਂ ਆਉਣ ਵਾਲਾ ਦੂਰ ਦਾ ਸਬਨੈੱਟ ਕੋਈ ਪੱਧਰ ਨਹੀਂ ਪ੍ਰਾਪਤ ਕਰਦਾ, ਭਾਵੇਂ crypto map ਕਿਵੇਂ ਵੀ ਲਿਖਿਆ ਹੋਵੇ। ਇਸ ਲਈ ਸਵਾਲ ਦਾ ਕੋਈ ਸੰਖਿਆਤਮਕ ਜਵਾਬ ਨਹੀਂ ਹੈ।

ਵਿਹਾਰਕ ਅਗਲਾ ਸਵਾਲ ਬਿਹਤਰ ਹੈ: ਕਿਹੜੀ ਨੀਤੀ ਬ੍ਰਾਂਚ ਨੂੰ ਸਰਵਰ ਤੱਕ ਜਾਣ ਦਿੰਦੀ ਹੈ ਅਤੇ ਕਿਹੜੀ ਉਸਨੂੰ ਫਾਇਰਵਾਲ ਤੋਂ ਦੂਰ ਰੱਖਦੀ ਹੈ। ਇਹ ਦੋ ਜਵਾਬ ਹਨ, ਅਤੇ ਹੇਠਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਉਹਨਾਂ ਨੂੰ ਵੱਖ ਕਰਦੀ ਹੈ।

ਸੁਰੱਖਿਆ ਪੱਧਰ ਇੰਟਰਫ਼ੇਸਾਂ ਦੇ ਹੁੰਦੇ ਹਨ

show running-config interface ਚਲਾਓ ਅਤੇ ਤੁਸੀਂ ਹਰ ਭੌਤਿਕ ਇੰਟਰਫ਼ੇਸ ਜਾਂ VLAN ਇੰਟਰਫ਼ੇਸ ਦੇ ਹੇਠਾਂ security-level ਦੇਖੋਗੇ, ਟਨਲ ਗਰੁੱਪ ਜਾਂ crypto map ਦੇ ਹੇਠਾਂ ਨਹੀਂ। ਉੱਚ ਤੋਂ ਨੀਵੇਂ ਵੱਲ ਡਿਫ਼ਾਲਟ ਇਜਾਜ਼ਤ ਉਹਨਾਂ ਇੰਟਰਫ਼ੇਸਾਂ ਵਿਚਕਾਰ ਮੁਲਾਂਕਣ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਇਸ ਲਈ ਸੰਖਿਆ ਆਪਣੇ ਪਥ ’ਤੇ ਜਾਂਚ ਅਤੇ ਅੰਤਰਨਿਹਿਤ ACL ਦਾ ਵਿਵਹਾਰ ਬਦਲਦੀ ਹੈ।

ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ VPN ਪ੍ਰਵਾਹ ਲਈ, ਪ੍ਰਵੇਸ਼ ਅਜੇ ਵੀ outside ਇੰਟਰਫ਼ੇਸ ਹੈ ਜਿੱਥੇ ਟਨਲ ਖਤਮ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਨਿਕਾਸ ਸਰਵਰ ਵੱਲ inside ਇੰਟਰਫ਼ੇਸ ਹੈ। ਕੁਝ ਵੀ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਦੋਵੇਂ ਲਿਖ ਲਓ। ਉਹ ਇੱਕ ਕਦਮ ਬਹੁਤੀ ਉਲਝਣ ਦੂਰ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਅਮੂਰਤ ਭਰੋਸੇ ਦੇ ਸਵਾਲ ਨੂੰ ਇੰਟਰਫ਼ੇਸ ਜੋੜੀ ਵਿੱਚ ਬਦਲਦਾ ਹੈ।

ACL ਬਾਈਪਾਸ ਦੀ ਇੱਕ ਨਾਮ ਵਾਲੀ ਸੀਮਾ ਹੈ

sysopt connection permit-vpn ਉਹ ਸੈਟਿੰਗ ਹੈ ਜਿਸਨੂੰ ਲੋਕ ਅੱਧਾ ਯਾਦ ਰੱਖਦੇ ਹਨ ਜਦੋਂ ਉਹ ਕਹਿੰਦੇ ਹਨ ਕਿ VPN ਟ੍ਰੈਫਿਕ ACL ਨੂੰ ਅਣਡਿੱਠ ਕਰਦਾ ਹੈ। ਇਹ VPN ਟ੍ਰੈਫਿਕ ਵਜੋਂ ਯੋਗ ਟ੍ਰੈਫਿਕ ਲਈ ਇੰਟਰਫ਼ੇਸ ACL ਅਸਲ ਵਿੱਚ ਛੱਡ ਦਿੰਦਾ ਹੈ, ਅਤੇ 9.x ਪੈਰਾਮੀਟਰ ਗਾਈਡ ਇਸਨੂੰ ਵਿਸ਼ਵਵਿਆਪੀ ਅਪਵਾਦ ਘੋਸ਼ਿਤ ਕਰਨ ਦੀ ਬਜਾਏ ਇੰਟਰਫ਼ੇਸ ਅਤੇ ਦਿਸ਼ਾ ਅਨੁਸਾਰ ਸੀਮਿਤ ਕਰਦੀ ਹੈ।

ਯਾਦ ਤੋਂ ਤਰਕ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਕੀ ਕਨਫਿਗਰ ਹੈ:

  • show running-config all sysopt ਅਸਲ ਮੁੱਲ ਦੇਖਣ ਲਈ, ਸਿਰਫ਼ ਗੈਰ-ਡਿਫ਼ਾਲਟ ਲਾਈਨਾਂ ਨਹੀਂ।
  • show running-config access-group ਕਿਹੜਾ ACL ਕਿਹੜੇ ਇੰਟਰਫ਼ੇਸ ਅਤੇ ਦਿਸ਼ਾ ’ਤੇ ਲਾਗੂ ਹੈ ਦੇਖਣ ਲਈ।
  • show vpn-sessiondb detail l2l ਸੈਸ਼ਨ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਟਨਲ ਗਰੁੱਪ ਅਤੇ ਫਿਲਟਰ ਵਰਤਦਾ ਹੈ ਦੀ ਪੁਸ਼ਟੀ ਕਰਨ ਲਈ।

VPN ਪਹੁੰਚ ਸਖ਼ਤ ਕਰਨ ਲਈ ਉਹ ਸੈਟਿੰਗ ਬੰਦ ਕਰਨਾ ਵੱਡੇ ਪ੍ਰਭਾਵ ਦਾ ਬਦਲਾਅ ਹੈ। ਇਹ ਹਰ ਯੋਗ VPN ਪ੍ਰਵਾਹ ਨੂੰ ਦੁਬਾਰਾ ਬਾਹਰੀ ACL ਦੇ ਅਧੀਨ ਕਰਦਾ ਹੈ, ਜੋ ਆਮ ਤੌਰ ’ਤੇ ਚੱਲ ਰਹੇ ਟਨਲਾਂ ਨੂੰ ਤੁਹਾਡੇ ਤੋਂ ਪੁੱਛੀ ਗਈ ਬ੍ਰਾਂਚ ਨਾਲ ਸਬੰਧਤ ਨਾ ਹੋਣ ਵਾਲੇ ਤਰੀਕਿਆਂ ਨਾਲ ਤੋੜ ਦਿੰਦਾ ਹੈ।

ਸੈਸ਼ਨ ਨਾਲ ਜੁੜਿਆ ਫਿਲਟਰ ਪੜ੍ਹੋ

ਹਰ ਟਨਲ ਲਈ ਅਸਲ ਨਿਯੰਤਰਣ VPN ਫਿਲਟਰ ਹੈ: ਗਰੁੱਪ ਨੀਤੀ ਜਾਂ ਉਪਭੋਗਤਾ ਨਾਮ ਦੁਆਰਾ ਹਵਾਲਾ ਦਿੱਤਾ ACL, ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਾਅਦ ਅਤੇ ਇਨਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ ਲਾਗੂ ਹੁੰਦਾ ਹੈ। ਉਪਭੋਗਤਾ-ਪੱਧਰ ਦਾ ਫਿਲਟਰ ਗਰੁੱਪ-ਪੱਧਰ ਦੇ ਮੁੱਲ ਨੂੰ ਬਦਲ ਦਿੰਦਾ ਹੈ, ਇਸ ਲਈ ਇੱਕੋ ਟਨਲ ਗਰੁੱਪ ਦੇ ਦੋ ਲੋਕਾਂ ਦੀ ਪ੍ਰਭਾਵੀ ਪਹੁੰਚ ਵੱਖਰੀ ਹੋ ਸਕਦੀ ਹੈ।

ਤਰਜੀਹ ਨੂੰ ਮੰਨਣ ਦੀ ਬਜਾਏ ਪੁਸ਼ਟੀ ਕਰੋ। show running-config group-policy <name> ਗਰੁੱਪ ਦਾ ਮੁੱਲ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ show running-config username <name> ਦਿਖਾਉਂਦਾ ਹੈ ਕਿ ਪ੍ਰਤੀ-ਉਪਭੋਗਤਾ ਮੁੱਲ ਹੈ ਜਾਂ ਨਹੀਂ। ਜੇ ਦੋਵੇਂ ਹਨ ਤਾਂ ਉਪਭੋਗਤਾ ਦਾ ਮੁੱਲ ਜਿੱਤਦਾ ਹੈ। ਫਿਰ ਉਸ ACL ਦੀਆਂ ਐਂਟਰੀਆਂ ਦੀ ਤੁਹਾਡੇ ਲਈ ਮਹੱਤਵਪੂਰਨ ਪ੍ਰਵਾਹ ਨਾਲ, ਫਿਲਟਰ ਜਿਸ ਦਿਸ਼ਾ ਵਿੱਚ ਮੁਲਾਂਕਣ ਕਰਦਾ ਹੈ ਉਸ ਦਿਸ਼ਾ ਵਿੱਚ ਤੁਲਨਾ ਕਰੋ।

ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ ਨੂੰ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲਾ ਫਿਲਟਰ ਪ੍ਰਬੰਧਨ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਇਹ ਵੱਖਰੇ ਪਥ ’ਤੇ ਵੱਖਰੇ ਨਿਯਮ ਹਨ।

ਇੱਕ ਇਜਾਜ਼ਤ ਅਤੇ ਇੱਕ ਇਨਕਾਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ

ਉਪਭੋਗਤਾ ਦੀ ਰਿਪੋਰਟ ਦੀ ਉਡੀਕ ਕੀਤੇ ਬਿਨਾਂ ਫੈਸਲਾ ਦੇਖਣ ਦਾ ਸਭ ਤੋਂ ਤੇਜ਼ ਤਰੀਕਾ Packet-tracer ਹੈ। ਇਸਨੂੰ ਡੀਕ੍ਰਿਪਟ ਪਾਸੇ ਦਾ ਪ੍ਰਵਾਹ ਦਿਓ ਅਤੇ ਇਸਨੂੰ ਉਹ ACL, NAT ਅਤੇ ਜਾਂਚ ਪੜਾਅ ਦੱਸਣ ਦਿਓ ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇਹ ਲੰਘਦਾ ਹੈ।

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. ਨਤੀਜੇ ਦੀ ਲਾਈਨ ਪੜ੍ਹੋ: ਇਹ ਉਸ ACL ਦਾ ਨਾਮ ਦੱਸਦੀ ਹੈ ਜਿਸਨੇ ਪੈਕਟ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂ ਸੁੱਟ ਦਿੱਤਾ।
  3. inside ਇੰਟਰਫ਼ੇਸ ’ਤੇ ਪ੍ਰਬੰਧਕੀ ਮੰਜ਼ਿਲ ਨਾਲ ਦੁਹਰਾਓ ਅਤੇ ਇਨਕਾਰ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।
  4. ਕਿਸੇ ਵੀ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਇੱਕ ਵਾਰ ਹੋਰ ਦੁਹਰਾਓ, ਤਾਂ ਜੋ ਪਹਿਲਾਂ ਅਤੇ ਬਾਅਦ ਦੋਵੇਂ ਸਥਿਤੀਆਂ ਦਰਜ ਹੋਣ।

ਫਿਰ ਅਸਲ ਟ੍ਰੈਫਿਕ ਨਾਲ ਪੁਸ਼ਟੀ ਕਰੋ: ਬ੍ਰਾਂਚ ਤੋਂ ਇੱਕ ਸਫਲ ਐਪਲੀਕੇਸ਼ਨ ਬੇਨਤੀ ਅਤੇ ASA ਵੱਲ ਇੱਕ ਅਸਫਲ SSH ਕੋਸ਼ਿਸ਼। Packet-tracer ਪਥ ਦਾ ਮਾਡਲ ਬਣਾਉਂਦਾ ਹੈ; ਜੀਵਤ ਪ੍ਰਵਾਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਮਾਡਲ ਮੇਲ ਖਾਦਾ।

ਉਹ ਬਦਲਾਅ ਵਾਪਸ ਕਰੋ ਜਿਸਨੇ ਇਸਨੂੰ ਕੰਮ ਕਰਨ ਲਾਇਆ

ਜੇ ਹੱਲ ACL ਬਾਈਪਾਸ ਬੰਦ ਕਰਨਾ ਜਾਂ ਫਿਲਟਰ ਚੌੜਾ ਕਰਨਾ ਸੀ, ਤਾਂ ਪਿਛਲਾ ਕਨਫਿਗਰੇਸ਼ਨ ਰੱਖੋ। ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਸੰਭਾਲਿਆ ਪ੍ਰਭਾਵਿਤ ਵਸਤੂਆਂ ਦਾ show run ਕੈਪਚਰ ਉਹਨਾਂ ਨੂੰ ਬਹਾਲ ਕਰਨ ਲਈ ਕਾਫ਼ੀ ਹੈ; ASA ਕਨਫਿਗਰੇਸ਼ਨ ਲਾਈਨ-ਕੇਂਦ੍ਰਿਤ ਹੈ, ਇਸ ਲਈ ਵਾਪਸ ਕਰਨਾ ਭਾਵ ਪੁਰਾਣੀਆਂ ਲਾਈਨਾਂ ਦੁਬਾਰਾ ਦਰਜ ਕਰਨਾ, ਫਾਈਲ ਬਹਾਲ ਕਰਨਾ ਨਹੀਂ।

ਇੰਟਰਫ਼ੇਸ ਜੋੜੀ, ਪ੍ਰਭਾਵੀ ਫਿਲਟਰ, packet-tracer ਤੋਂ ACL ਦਾ ਨਾਮ ਅਤੇ ਤੁਹਾਡੇ ਬਦਲੇ ਸਹੀ ਹੁਕਮ ਦਰਜ ਕਰੋ। ਉਹ ਰਿਕਾਰਡ ਅਗਲੀ ਸਮੀਖਿਆ ਨੂੰ ਭਰੋਸੇ ਦੇ ਪੱਧਰਾਂ ਬਾਰੇ ਇੱਕ ਹੋਰ ਬਹਿਸ ਦੀ ਬਜਾਏ ਪੰਜ ਮਿੰਟ ਦੀ ਜਾਂਚ ਬਣਾ ਦਿੰਦਾ ਹੈ।

ਸੰਬੰਧਿਤ ਲੇਖ