د VPN له ډيکرپټ کولو وروسته کوم ASA قاعده ترافیک ویني

لومړی انګېرنه چې باید پرېښودل شي دا ده چې کریپټو ACL د لاسرسي پالیسي ده. داسې نه ده. په Cisco ASA کې هغه لړلیک یوې تنګې پوښتنې ته ځواب وایي: کوم پاکټونه د ساتنې وړ دي، او هغه ځواب د دې په اړه هېڅ نه وایي چې ډيکرپټ شوی پاکټ د اوروژنې دېوال تر شا سرور ته رسېدلی شي که نه. لاسرسی وروسته ټاکل کېږي — د انټرفېس پالیسۍ، د ګروپ پالیسۍ فلټر، یا دواړو له لارې، د دې پورې چې تونل څنګه جوړ شوی.

کریپټو ACL بېلې پوښتنې ته ځواب وایي

کریپټو ACL د سمون لړلیک دی. تونل ته وایي چې د دوو خواوو ترمنځ څه کوډ شي؛ هغه پاکټ چې ورسره سمون نه لري یوازې خوندي نه وي. پراخول یې د ساتنې لمن بدلوي او نور هېڅ نه.

له همدې امله هلته د فرعي شبکې زیاتول کولای شي تونل پورته کړي خو اصلي اپلیکیشن لا هم ناکام شي. تونل پورته دی ځکه چې اوس سمون شته. اپلیکیشن ناکام دی ځکه چې په هغه لړلیک کې هېڅ شی هېچا ته اجازه نه ورکوي. دوې بېلې پوښتنې، دوه بېل لړلیکونه.

د تېرېدو ترتیبات په رښتیا څه پرېږدي

sysopt connection permit-vpn ساتل شوي ترافیک ته اجازه ورکوي چې د انټرفېس ACL هغه څېړنه پرېږدي چې که نه وي په راتلونکې خوا کې به پلي شوې وای. دا د VPN ځای پرځای کولو لپاره اسانتیا ده، او نړیواله ده. دا ګروپ پالیسۍ ته نه رسېږي او د هر کارونکي اجازه فلټر ته هم نه رسېږي.

د انګېرنې پرځای ریښتینی ارزښت ولولئ: show running-config all sysopt ترتیبات چاپوي حتی کله چې هېڅکله په ښکاره توګه تنظیم شوي نه وي، او ډېره ګډوډي له همدې ځایه پیلېږي.

ځکه چې ترتیبات نړیوال دي، د یوې ناکامې فرعي شبکې په سر د چټکې آزموینې په توګه یې څېړل بد ګډ بدل دی. په هغه اوروژنې دېوال کې هر بل تونل پایله شریکه کوي. دا د بیرته راګرځولو پلان سره د پوهاوي بدلون لپاره وساتئ.

فلټر د ډيکرپټ کولو په لوري ولولئ

د LAN-to-LAN vpn-filter د انټرفېس نه، د تونل له نظره لیکل کېږي. لرې شبکه د سرچینې ځای ته او ځایي شبکه د منزل ځای ته ځي، ځکه چې له ډيکرپټ کولو وروسته پاکټ داسې ښکاري. بیا هماغه فلټر د کوډ کولو دمخه په مخالف لوري کې بیا ارزول کېږي، د پتې رولونه بدل شوي.

د پورټ شرایط د کاپي شوي انټرفېس ACL څخه ډېر پام غواړي، همدې دلیل له امله. هغه قاعده چې یو منزل پورټ ته اجازه ورکوي کولای شي په مخالف لوري کې ناغوښتل شوی اغېز ولري، چېرې چې نوی اړیکه هغه پورټ د خپلې سرچینې په توګه کاروي. د لړلیک له جوړولو دمخه ولیکئ چې کومه خوا پیل کولای شي، ریښتینې خدمت څه دی، او کوم مخالف لوري باید تړلی پاتې شي.

تایید کړئ چې کوم فلټر په رښتیا نښلول شوی: show running-config group-policy او show vpn-sessiondb detail l2l یوځای وایي چې ناستې څه میراث واخیست. هغه ACL چې هېڅ پالیسي ورته نه اشاره کوي، سمول یې هېڅ نه بدلوي.

یو ACL شی د دوو کارونو لپاره بیا مه کاروئ

د انټرفېس access-group او vpn-filter د یو ډول شي په څېر ښکاري او په بېلو نقطو کې د بېلې پتې لوري سره ارزول کېږي. یو لړلیک دواړو ته ورکول داسې بدلون ته بلنه ورکوي چې تونل سم کړي او فزیکي انټرفېس په خاموشۍ سست کړي.

دواړه جلا وساتئ، د دوی د کار له مخې نومونه ورکړئ، او د لوري توپیر په نومونو کې ښکاره کړئ.

د نویو اړیکو سره، په دواړو لورو کې تایید کړئ

د پلان شوې بدلون وروسته، یوه نوې اړیکه پرانیزئ چې باید اجازه ورکړل شي او یوه نوې اړیکه چې باید رد شي، بیا پتې، لوری او د پالیسۍ سمون د پایلې سره ولیکئ. جوړه شوې ناسته د نویو اړیکو فلټر کولو په اړه هېڅ ثابتوي نه، ځکه چې دا دمخه د زړو قاعدو لاندې منل شوې وه.

څېړنه هم په پام کې ونیسئ. د جوړونکي اسناد یادوي چې VPN فلټر لومړنۍ اړیکه څېړي، نه هره دویمه اړیکه چې د څېړنې انجن پرانیزي، نو د کنټرول کانال او د هغه اړوند مېډیا بهیر ممکن بېل چلند ومومي. که اپلیکیشن پروتوکول پېژني، د یو پورټ پروب پرځای ریښتینی بهیر وآزمویئ.

هغه تونل چې د پراخې تېرېدنې وروسته کارېدونکی شي وایي چې محدودیت لرې شو، نه دا چې پوره شو. د ساتلو وړ پایله یو نومول شوی پلي کولو ټکی دی چې په راتلونکې بیاکتنه کې ورته اشاره کولای شئ.