Czy podsieć VPN dziedziczy poziom bezpieczeństwa interfejsu ASA?

Odszyfrowana podsieć VPN nigdy nie dziedziczy poziomu bezpieczeństwa interfejsu. Sprawdź osobno sysopt connection permit-vpn, filtr grupy i dostęp administracyjny.

Ktoś pyta, czy podsieć VPN oddziału ma „poziom bezpieczeństwa 0 lub 100” na ASA, a pytanie już zawiera błąd. Poziom bezpieczeństwa jest właściwością lokalnego interfejsu i jest przypisywany od 0 do 100 w konfiguracji interfejsu. Zdalna podsieć przychodząca przez tunel nie nabywa żadnego, niezależnie od tego, jak zapisano crypto map. Dlatego pytanie nie ma odpowiedzi liczbowej.

Praktyczne pytanie następcze jest lepsze: która polityka wpuszcza oddział do serwera, a która trzyma go z dala od samej zapory. To dwie odpowiedzi, a poniższa procedura je rozdziela.

Poziomy bezpieczeństwa należą do interfejsów

Uruchom show running-config interface, a zobaczysz security-level pod każdym interfejsem fizycznym lub interfejsem VLAN, a nie pod grupą tunelu czy crypto map. Domyślne zezwolenie z wyższego na niższy jest oceniane między tymi interfejsami, dlatego liczba zmienia zachowanie inspekcji i niejawnej ACL na ścieżce, do której należy.

Dla odszyfrowanego przepływu VPN wejściem jest nadal interfejs outside, na którym kończy się tunel, a wyjściem jest interfejs inside w stronę serwera. Zapisz oba, zanim czegokolwiek dotkniesz. Ten jeden krok usuwa większość zamieszania, ponieważ zamienia abstrakcyjne pytanie o zaufanie w parę interfejsów.

Omijanie ACL ma nazwaną granicę

sysopt connection permit-vpn to ustawienie, które ludzie pamiętają połowicznie, gdy mówią, że ruch VPN ignoruje ACL. Rzeczywiście pomija ACL interfejsu dla ruchu kwalifikującego się jako ruch VPN, a przewodnik po parametrach 9.x ogranicza je według interfejsu i kierunku, zamiast ogłaszać globalny wyjątek.

Sprawdź, co jest skonfigurowane, zanim zaczniesz rozumować z pamięci:

  • show running-config all sysopt aby zobaczyć rzeczywistą wartość, a nie tylko wiersze inne niż domyślne.
  • show running-config access-group aby zobaczyć, która ACL jest stosowana do którego interfejsu i kierunku.
  • show vpn-sessiondb detail l2l aby potwierdzić, której grupy tunelu i którego filtra faktycznie używa sesja.

Wyłączenie tego ustawienia w celu zaostrzenia dostępu VPN to zmiana o dużym zasięgu. Podporządkowuje ponownie każdy kwalifikujący się przepływ VPN zewnętrznej ACL, co zwykle psuje działające tunele w sposób niezwiązany z oddziałem, o który pytano.

Przeczytaj filtr przypisany do sesji

Prawdziwą kontrolą na tunel jest filtr VPN: ACL, do której odwołuje się polityka grupy lub nazwa użytkownika, stosowana po odszyfrowaniu i przed szyfrowaniem. Filtr na poziomie użytkownika zastępuje wartość na poziomie grupy, więc dwie osoby w tej samej grupie tunelu mogą mieć inny efektywny dostęp.

Potwierdź pierwszeństwo, zamiast je zakładać. show running-config group-policy <name> pokazuje wartość grupy, a show running-config username <name> pokazuje, czy istnieje wartość dla użytkownika. Jeśli istnieją obie, wygrywa wartość użytkownika. Następnie porównaj wpisy tej ACL z przepływem, który cię interesuje, w kierunku, w którym ocenia filtr.

Filtr zezwalający serwerowi aplikacji nie mówi nic o zarządzaniu. To osobne reguły na osobnej ścieżce.

Zweryfikuj jedno zezwolenie i jedno odrzucenie

Packet-tracer to najszybszy sposób zobaczenia decyzji bez czekania, aż użytkownik ją zgłosi. Podaj mu przepływ od strony odszyfrowanej i pozwól nazwać etapy ACL, NAT i inspekcji, przez które przechodzi.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Przeczytaj wiersz wyniku: nazywa ACL, która zezwoliła lub odrzuciła pakiet.
  3. Powtórz z celem administracyjnym na interfejsie inside i potwierdź odmowę.
  4. Powtórz jeszcze raz po każdej zmianie, aby zapisano zarówno stan przed, jak i po.

Następnie zweryfikuj rzeczywistym ruchem: jedno udane żądanie aplikacji z oddziału i jedną nieudaną próbę SSH do ASA. Packet-tracer modeluje ścieżkę; aktywny przepływ dowodzi, że model się zgadzał.

Wycofaj zmianę, która sprawiła, że to działa

Jeśli poprawką było wyłączenie omijania ACL lub rozszerzenie filtra, zachowaj poprzednią konfigurację. Zrzut show run objętych obiektów, zapisany przed zmianą, wystarczy do ich przywrócenia; konfiguracja ASA jest zorientowana liniowo, więc wycofanie oznacza ponowne wpisanie starych wierszy, a nie przywrócenie pliku.

Zapisz parę interfejsów, efektywny filtr, nazwę ACL z packet-tracera i dokładne polecenia, które zmieniłeś. Ten zapis zamienia następny przegląd w pięciominutowe sprawdzenie zamiast kolejnej debaty o poziomach zaufania.

Powiązane artykuły