ولې د ASA د TACACS+ غوښتنې ستاسو د څانګې VPN تونل ته نه ځي

د څانګې تونل فعال دی، کاروونکي په لرې TACACS+ سرور کې تصدیق کوي، خو د فایر وال خپله ننوتنه بیا هم د وخت په پای کې ناکامه کیږي. لامل د تونل تېروتنه نه ده: LAN-to-LAN تونل هغه ټرافیک وړي چې د هغې له ټاکونکو سره سمون لري، او هغه مدیریتي ټرافیک چې ASA د ځان په اړه جوړوي جلا بهیر دی چې خپله د سرچینې پته لري. ډېری ټیمونه دا د بدلون په وخت کې کشفوي، کله چې یوازینی مدیر حساب ناکام وي. د ASA پیل شوې AAA ناسته د یو بهیر په توګه وګورئ چې تاسو یې باید ډیزاین کړئ، نه د لا دمخه فعال ارتباط د اړخیز اغېزې په توګه.

ASA خپله کلاینټ دی، او د هغې خپل ټرافیک خپله لار غواړي

کله چې فایر وال د TACACS+ سرور سره اړیکه نیسي، فایر وال لکه هر بل کلاینټ دی، یوازې دا چې چا په قصد د هغې لپاره مسیر نه دی تنظیم کړی. د هغې پاکټونه د وسیلې په انټرفیس پته کې پیدا کیږي، هغه په محلي توګه جوړیږي نه لیږدول کیږي، او باید د کاروونکو ټرافیک په څېر مسیر، ژباړه او د پالیسۍ له مخې ساتنه ورته وشي. هغه سایټ تر سایټ تونل چې د کاروونکو فرعي شبکه ساتي هغه مدیریتي سرچینه په اتوماتيک ډول نه ساتي، ځکه چې د ټرافیک ټاکنه پر پتو ولاړه ده، نه پر نیت.

هغه پته ولیکئ چې تمه لرئ سرور به یې وویني. که نشئ کولای یې په یوه کرښه کې ووایاست، لا تر اوسه ډیزاین نه لرئ.

د aaa-server کرښې انټرفیس سینګار نه دی

په ASA کې aaa-server هوسټ ننوتنه په قوسونو کې د انټرفیس تړاو اخلي، او د Cisco د AAA هوسټ د کمانډونو حواله هغه د هغه انټرفیس په توګه بیانوي چې تصدیق کوونکی سرور پرې پروت دی. همدا تړاو غوښتنه له یوه انټرفیس او له هغې پالیسۍ سره تړي چې هغه انټرفیس پلي کوي. که یې د انټرنېټ ته د مخې کېدونکي هر انټرفیس له مخې وټاکئ، یا هغه څه پرېږدئ چې د وروستي مهاجرت څخه پاتې دي، داسې سرچینه پته جوړیږي چې لرې سرور او تونل هیڅکله د هغې لپاره نه وو جوړ شوي.

inside یوازې هغه وخت سم ځواب دی چې نومول شوی انټرفیس هغه پته ولري چې ستاسو ډیزاین یې د سرچینې په توګه کارول غواړي. په څانګې وسیله کې دا ډېری داسې وي؛ په داسې وسیله کې چې څو خصوصي برخې لري ممکن داسې نه وي.

د تړاو بدلول یعنې ننوتنه له سره جوړول

هماغه د کمانډونو حواله یو د سمون محدودیت ثبتوي چې خلک د لېږد په وخت کې نښلوي: په موجوده هوسټ کې د انټرفیس بدلول غواړي چې د هوسټ ننوتنه لرې او له سره جوړه شي. هغه تنظیم چې سم شوی ښکاري ممکن عملي شوی نه وي، او راتلونکې ننوتنه به بیا هم له زاړه پتې څخه ووځي. دا د ځای پر ځای سمون په توګه نه، بلکې د اصلي ننوتنې د یوې کاپي سره مخکې ولاړ د ړنګولو او زیاتولو په توګه پلان کړئ.

که څو سرورونه تعریف شوي وي، یو بدل کړئ او د نورو د لمس کولو دمخه یې ازموینه وکړئ، تر څو یوه تېروتنه ټولې اداري لارې په یو وخت وتړي نه.

ټاکونکي، ژباړه او د بېرته راتګ لاره یوځای وګورئ

درې شیان باید سره سمون ولري تر څو غوښتنه ورسېږي. د تونل د ټرافیک ټاکونکي، یا د تونل انټرفیس ساتنه که یې کاروئ، باید د ASA خپله سرچینه او د سرور پته ولري؛ هغه ټاکونکو لیست چې د کاروونکو فرعي شبکو لپاره جوړ شوی معمولاً داسې نه کوي. په لاره کې هر NAT قانون باید هغه سرچینه په دوامداره توګه ژباړي، ځکه چې سرور د شبکې وسیلې هغه هویت مني چې د هغې لیدل شوې پته پکې وي. او د بېرته راتګ لاره باید موجوده وي، چې په پالیسۍ ولاړ تونل کې مانا دا ده چې لرې پای په مقابل لوري کې سمون لرونکی ټاکونکی لري.

د سرور په خوا کې د وسیلې هویت، ګډ راز او اداري پالیسي بېل بېل تایید کړئ. TACACS+ تصدیق، اجازه او حساب ساتنه د بېلو عملیاتو په توګه ساتي، نو هغه رد چې د بشپړ تبادلې وروسته راځي د پالیسۍ ځواب دی، د لېږد ناکامي نه. هغه د شبکې ستونزې په توګه لوستل تاسو په غلط ځای کې لټون ته لیږي.

د غلطیو د لټون پر مهال راز له پاکټ نیولو، ټکټونو او رونوشتونو لرې وساتئ، او په یاد ولرئ چې سرور چې سرچینه پته ثبتوي هماغه پته ده چې ستاسو ډیزاین یې باید تشریح کړي.

بدلون وکړئ پرته له دې چې ځان بهر وتړئ

د لرې اداري تصدیق د بدلولو پر مهال کنسول یا خپلواکه مدیریتي لاره وکاروئ، او تر هغه چې نوې لاره ریښتینې ننوتنه ونه وړي تصویب شوې محلي بدیله لار وساتئ. بیا په نري ډول تایید کړئ: یو سرور، یوه وسیله، یو بریالی تصدیق چې د سرچینې پته په دواړو خواو کې لیدل شوې وي.

بهیر په خپله پاڼه کې ثبت کړئ: د پیل انټرفیس او پته، لرې سرور، ساتل شوې لاره، او هغه کس چې د اجازې پالیسي لري. بیا کولای شئ وروستی انټرفیس یا تونل بدلون ارزوئ پرته له دې چې اټکل وکړئ چې له دوو بهیرونو کوم ته اغېز کوي.