ASA ਦਾ ਦੂਰ ਦਾ ਵਰਤੋਂਕਾਰ ਸਬਨੈੱਟ ਤੱਕ ਕਿਉਂ ਪਹੁੰਚਦਾ ਹੈ ਪਰ ਐਪ ਤੱਕ ਨਹੀਂ
ਰੂਟ ਸਾਬਤ ਕਰਦੇ ਹਨ ਕਿ ਟਨਲ ਕੰਮ ਕਰਦੀ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਵਰਤੋਂਕਾਰ ਐਪ ਖੋਲ੍ਹ ਸਕਦਾ ਹੈ। ਸੈਸ਼ਨ ਨੂੰ ਮਿਲਿਆ ਫਿਲਟਰ ਪੜ੍ਹੋ, ਫਿਰ ਮਨਜ਼ੂਰ ਅਤੇ ਰੱਦ ਕੀਤਾ ਕਨੈਕਸ਼ਨ ਪਰਖੋ।
ਤੁਹਾਡਾ ਵਰਤੋਂਕਾਰ ਜੁੜਦਾ ਹੈ, ਪਤਾ ਲੈਂਦਾ ਹੈ, ਐਪ ਦੇ ਸਬਨੈੱਟ ਵਿੱਚ ਸਰਵਰ ਨੂੰ ਪਿੰਗ ਕਰਦਾ ਹੈ, ਫਿਰ ਵੀ ਉਸ ਉੱਤੇ ਸੇਵਾ ਨਹੀਂ ਖੋਲ੍ਹ ਸਕਦਾ। ASA ਉੱਤੇ ਇਹ ਸੰਜੋਗ ਆਮ ਹੈ, ਕਿਉਂਕਿ ਸਫਲ ਟਨਲ ਅਤੇ ਵਰਤੋਂਯੋਗ ਇਜਾਜ਼ਤ ਵੱਖ-ਵੱਖ ਸੈਟਿੰਗਾਂ ਨਾਲ ਤੈਅ ਹੁੰਦੇ ਹਨ। ਸਪਲਿਟ-ਟਨਲ ਸੂਚੀ ਨੇ ਚੁਣਿਆ ਕਿ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਟਨਲ ਵਿੱਚ ਦਾਖਲ ਹੋਣ; VPN ਫਿਲਟਰ ਅਤੇ ਮੰਜ਼ਿਲ ਦੇ ਆਪਣੇ ਐਕਸੈਸ ਨਿਯਮ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਡੀਕ੍ਰਿਪਟ ਕੀਤੀ ਬੇਨਤੀ ਕਿੱਥੋਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦੀ ਹੈ। ਰੂਟ ਸੂਚੀ ਚੌੜੀ ਕਰਨ ਦੀ ਬਜਾਏ ਤਿੰਨੇ ਫੈਸਲੇ ਕ੍ਰਮ ਵਿੱਚ ਵੇਖੋ, ਜਦੋਂ ਤੱਕ ਕੁਝ ਬਦਲੇ ਨਹੀਂ।
ਉਲਝਾਉਣੇ ਸੌਖੇ ਤਿੰਨ ਫੈਸਲੇ
ਦਾਖਲਾ ਦੱਸਦਾ ਹੈ ਕਿ ਵਰਤੋਂਕਾਰ ਟਨਲ ਬਣਾ ਵੀ ਸਕਦਾ ਹੈ ਜਾਂ ਨਹੀਂ: ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ, ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਕੋਈ ਵੀ ਦੂਜਾ ਕਾਰਕ। ਰੂਟ ਚੋਣ ਦੱਸਦੀ ਹੈ ਕਿ ਕਲਾਇੰਟ ਕਿਹੜੀਆਂ ਮੰਜ਼ਿਲਾਂ ਉਸ ਟਨਲ ਵਿੱਚ ਭੇਜਦਾ ਹੈ। ਅਧਿਕਾਰ ਦੱਸਦਾ ਹੈ ਕਿ ਡੀਕ੍ਰਿਪਟ ਕੀਤੀ ਬੇਨਤੀ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚ ਸਕਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਵਰਤੋਂਕਾਰ ਵੱਲੋਂ ਦੱਸੀ ਗਲਤੀ ਸਿਰਫ਼ ਤੀਜਾ ਪੈਦਾ ਕਰਦਾ ਹੈ।
ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖ ਕਰਨ ਦਾ ਤੇਜ਼ ਤਰੀਕਾ ਹੈ ਪੁੱਛਣਾ ਕਿ ਕੋਈ ਬਦਲਾਅ ਕੀ ਤੋੜੇਗਾ। ਸਪਲਿਟ ਸੂਚੀ ਤੋਂ ਰੂਟ ਹਟਾਉਣ ਨਾਲ ਉਸ ਸਬਨੈੱਟ ਵੱਲ ਟ੍ਰੈਫਿਕ ਰੁਕਦਾ ਹੈ ਪਰ ਕੁਝ ਨਹੀਂ ਦਿੰਦਾ; VPN ਫਿਲਟਰ ਵਿੱਚ ACE ਜੋੜਨ ਨਾਲ ਮੰਜ਼ਿਲ ਮਿਲਦੀ ਹੈ ਪਰ ਕਲਾਇੰਟ ਟਨਲ ਵਿੱਚ ਕੀ ਭੇਜਦਾ ਹੈ, ਉਹ ਨਹੀਂ ਬਦਲਦਾ।
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
ਸੈਸ਼ਨ ਨੂੰ ਅਸਲ ਵਿੱਚ ਮਿਲਿਆ ਫਿਲਟਰ ਪੜ੍ਹੋ
ਤੁਹਾਨੂੰ ਲੱਗਦਾ ਹੈ ਕਿ ਜੋ ਲਾਗੂ ਹੈ ਉਸ ਕਨਫਿਗਰੇਸ਼ਨ ਤੋਂ ਨਹੀਂ, ਜੀਵਤ ਸੈਸ਼ਨ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ। show vpn-sessiondb detail anyconnect ਦਿੱਤੀ ਗਈ ਗਰੁੱਪ ਨੀਤੀ ਅਤੇ ਉਸ ਸੈਸ਼ਨ ਨਾਲ ਜੁੜੇ ਫਿਲਟਰ ਦਾ ਨਾਮ ਛਾਪਦਾ ਹੈ। ਜੇ ਖੇਤਰ ਖਾਲੀ ਹੈ, ਤਾਂ ਕੋਈ ਫਿਲਟਰ ਕੁਝ ਲਾਗੂ ਨਹੀਂ ਕਰ ਰਿਹਾ ਅਤੇ ਰੁਕਾਵਟ ਕਿਤੇ ਹੋਰੋਂ ਆ ਰਹੀ ਹੈ।
ਫਿਰ ਉਸ ਨੀਤੀ ਨੂੰ ਪੜ੍ਹੋ ਜਿਸ ਕੋਲ ਮੁੱਲ ਹੈ, ਡਿਫ਼ਾਲਟ ਸਮੇਤ, ਕਿਉਂਕਿ ਫਿਲਟਰ ਤੁਹਾਡੇ ਵੇਖ ਰਹੇ ਥਾਂ ਲਿਖਿਆ ਨਹੀਂ ਹੋ ਸਕਦਾ, ਵਿਰਾਸਤ ਵਿੱਚ ਆ ਸਕਦਾ ਹੈ:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
ਸੈਸ਼ਨ ਉੱਤੇ ਫਿਲਟਰ ਨਾਮ ਦੀ ਤੁਲਨਾ ਉਸ ACL ਨਾਲ ਕਰੋ ਜੋ ਤੁਸੀਂ ਹੁਣੇ ਸੰਪਾਦਿਤ ਕੀਤਾ। ਵਰਤੋਂਕਾਰ ਨੂੰ ਕਦੇ ਨਾ ਮਿਲੀ ਮਿਲਦੇ ਨਾਮ ਵਾਲੀ ACL ਉਸ ਸੈਸ਼ਨ ਦੀ ਸਰੋਤ ਨੀਤੀ ਨਹੀਂ ਬਦਲ ਸਕਦੀ, ਅਤੇ ਸਹੀ ਦਿਖਦੇ ਬਦਲਾਅ ਦਾ ਅਸਰ ਨਾ ਹੋਣ ਦਾ ਇਹੀ ਸਭ ਤੋਂ ਆਮ ਕਾਰਨ ਹੈ।
ਤਰਜੀਹ ਬਾਕੀ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀ ਹੈ। ਫਿਲਟਰ ਸੈਟਿੰਗ ਲਈ DAP ਰਿਕਾਰਡ ਵਰਤੋਂਕਾਰ ਨਾਮ ਗੁਣਾਂ ਤੋਂ ਉੱਪਰ ਹੈ, ਅਤੇ ਵਰਤੋਂਕਾਰ ਨਾਮ ਗੁਣ ਗਰੁੱਪ ਨੀਤੀ ਤੋਂ ਉੱਪਰ ਹਨ। ਜਦੋਂ ਸੈਸ਼ਨ ਅਣਕਿਆਸਿਆ ਫਿਲਟਰ ਦਿਖਾਏ, ਤਾਂ ਗਰੁੱਪ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਉਸ ਵਰਤੋਂਕਾਰ ਨਾਲ ਮੇਲ ਖਾਂਦੀ DAP ਨੀਤੀ ਲੱਭੋ।
ਸਪਲਿਟ ਸੂਚੀ ਅਤੇ ਫਿਲਟਰ ਵੱਖਰੇ ਖੇਤਰ ਹਨ
ASA 9.x ਉੱਤੇ ਗਰੁੱਪ ਨੀਤੀ split-tunnel-network-list ਅਤੇ vpn-filter ਨੂੰ ਵੱਖ-ਵੱਖ ਸੈਟਿੰਗਾਂ ਵਜੋਂ ਰੱਖਦੀ ਹੈ, ਅਤੇ 9.22 ਗਰੁੱਪ-ਨੀਤੀ ਗਾਈਡ ਇਸੇ ਕਾਰਨ ਉਨ੍ਹਾਂ ਨੂੰ ਵੱਖਰਾ ਦਰਜ ਕਰਦੀ ਹੈ। ਨੈੱਟਵਰਕ ਸੂਚੀ ਕਲਾਇੰਟ ਲਈ ਰੂਟਿੰਗ ਸੰਕੇਤ ਹੈ; ਫਿਲਟਰ ਡੀਕ੍ਰਿਪਟ ਕੀਤੇ ਟ੍ਰੈਫਿਕ ਉੱਤੇ ਲਾਗੂ ਹੋਣ ਵਾਲੀ ਐਕਸੈਸ ਕੰਟਰੋਲ ਸੂਚੀ ਹੈ।
ਜਦੋਂ ਵਰਤੋਂਕਾਰ ਨੂੰ ਸਬਨੈੱਟ ਵਿੱਚ ਇੱਕੋ HTTPS ਸੇਵਾ ਚਾਹੀਦੀ ਹੈ ਤਾਂ ਇਹ ਫ਼ਰਕ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਪੈਕਟ ਟਨਲ ਵਿੱਚ ਦਾਖਲ ਹੋਣ ਲਈ ਸਬਨੈੱਟ ਸਪਲਿਟ ਸੂਚੀ ਵਿੱਚ ਪਾਓ, ਫਿਰ ਫਿਲਟਰ ਵਿੱਚ ਸਿਰਫ਼ ਉਸੇ ਸੇਵਾ ਦੀ ਇਜਾਜ਼ਤ ਦਿਓ। ਰੂਟ ਸੂਚੀ ਚੌੜੀ ਕਰਨ ਨਾਲ ਕੁਝ ਵੀ ਅਧਿਕਾਰਤ ਨਹੀਂ ਹੁੰਦਾ, ਅਤੇ ਇਸ ਨੂੰ ਛੋਟਾ ਕਰਨਾ ਲਾਗੂ ਕਰਨ ਦਾ ਤਰੀਕਾ ਨਹੀਂ।
ਵੇਖੋ ਕਿ ਇੰਟਰਫੇਸ ACL ਵੀ ਰਸਤੇ ਵਿੱਚ ਹੈ ਜਾਂ ਨਹੀਂ
ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਦੂਰ-ਪਹੁੰਚ ਟ੍ਰੈਫਿਕ ਹਮੇਸ਼ਾ ਬਾਹਰੀ ਇੰਟਰਫੇਸ ACL ਵਿੱਚੋਂ ਨਹੀਂ ਲੰਘਦਾ, ਜਿਵੇਂ ਲੋਕ ਮੰਨਦੇ ਹਨ। ਜਿੱਥੇ sysopt connection permit-vpn ਸਮਰੱਥ ਹੈ, ਉੱਥੇ ASA ਉਸ ਟ੍ਰੈਫਿਕ ਲਈ ਆਪਣਾ ਦਰਜ ਬਾਈਪਾਸ VPN ਲਾਗੂ ਕਰਦਾ ਹੈ, ਜਦਕਿ ਲਾਗੂ VPN ਫਿਲਟਰ ਬਾਅਦ ਵਿੱਚ ਵੀ ਕਾਇਮ ਰਹਿੰਦੇ ਹਨ। ਸੈਟਿੰਗ show run all sysopt ਨਾਲ ਪਰਖੋ, ਟੋਪੋਲੋਜੀ ਚਿੱਤਰ ਤੋਂ ਤਰਕ ਕਰਨ ਦੀ ਬਜਾਏ।
ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ, ਮੰਜ਼ਿਲ ਹੋਸਟ ਦਾ ਆਪਣਾ ਫਾਇਰਵਾਲ ਅਤੇ ਐਪ ਦਾ ਅਧਿਕਾਰ ਰਸਤੇ ਵਿੱਚ ਰਹਿੰਦੇ ਹਨ। TCP 443 ਦੀ ਇਜਾਜ਼ਤ ਦੇਣ ਵਾਲਾ ASA ਨਿਯਮ ਐਪ ਨੂੰ ਵਰਤੋਂਕਾਰ ਸਵੀਕਾਰ ਕਰਨ ਲਈ ਮਜਬੂਰ ਨਹੀਂ ਕਰਦਾ।
ਬਦਲਾਅ ਨੂੰ ਰੱਦ ਕੀਤੇ ਕਨੈਕਸ਼ਨ ਨਾਲ ਵੀ ਸਵੀਕਾਰੋ
ਸਿਰਫ਼ ਮਨਜ਼ੂਰ ਪਰਖ ਬਹੁਤ ਘੱਟ ਸਾਬਤ ਕਰਦੀ ਹੈ, ਕਿਉਂਕਿ ਕੰਮ ਕਰਦੀ ਟਨਲ ਫਿਲਟਰ ਹੋਵੇ ਜਾਂ ਨਾ, ਉਹੀ ਪਹਿਲਾ ਪੈਕਟ ਬਣਾਉਂਦੀ ਹੈ। ਕਲਾਇੰਟ ਤੋਂ ਲੋੜੀਂਦੀ ਸੇਵਾ ਖੋਲ੍ਹੋ, ਫਿਰ ਬੰਦ ਰਹਿਣ ਵਾਲੀ ਮੰਜ਼ਿਲ ਅਜ਼ਮਾਓ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਉਹ ਸਹੀ ਕਾਰਨ ਨਾਲ ਅਸਫਲ ਹੁੰਦੀ ਹੈ।
ਟਿਕਟ ਬੰਦ ਕਰਦਿਆਂ ਚਾਰ ਤੱਥ ਦਰਜ ਕਰੋ: ਸਵੀਕਾਰੀ ਪਛਾਣ, ਸੈਸ਼ਨ ਨੂੰ ਅਸਲ ਵਿੱਚ ਮਿਲੀ ਨੀਤੀ ਅਤੇ ਫਿਲਟਰ, ਸਪਲਿਟ ਸੂਚੀ ਵਿੱਚਲੀਆਂ ਮੰਜ਼ਿਲਾਂ, ਅਤੇ ਉਹ ਸਰੋਤ ਜਿਸ ਤੱਕ ਵਰਤੋਂਕਾਰ ਨੂੰ ਪਹੁੰਚਣ ਦੀ ਇਜਾਜ਼ਤ ਸੀ। ਇਹ ਚਾਰ ਰੂਟ ਸੂਚੀ ਨੂੰ ਫਾਇਰਵਾਲ ਬਣਾਏ ਬਿਨਾਂ ਦੱਸਦੇ ਹਨ ਕਿ ਟ੍ਰੈਫਿਕ ਕਿੱਥੇ ਨਿਯੰਤਰਿਤ ਹੁੰਦਾ ਹੈ।
ਜੇ ਫਿਲਟਰ ਇਜਾਜ਼ਤ ਦੇਣ ਤੋਂ ਬਾਅਦ ਵੀ ਸੇਵਾ ਇਨਕਾਰ ਕਰਦੀ ਹੈ, ਤਾਂ ਹੋਸਟ ਵੱਲ ਜਾਓ: ਸੁਣਨ ਦਾ ਪਤਾ, ਹੋਸਟ ਫਾਇਰਵਾਲ ਅਤੇ ਐਪ ਦੀ ਆਪਣੀ ਵਰਤੋਂਕਾਰ ਮੈਪਿੰਗ। ਉਸ ਵੇਲੇ ਟਨਲ ਨੇ ਆਪਣਾ ਕੰਮ ਕੀਤਾ, ਅਤੇ ASA ਉੱਤੇ ਹੋਰ ਬਦਲਾਅ ਸਿਰਫ਼ ਖ਼ਤਰਾ ਵਧਾਉਂਦੇ ਹਨ।