د سایټ تر منځ VPN کار کوي، خو د ASA لاګونه نه رارسېږي: د سرچینې پته وګورئ

داخلي کوربه لرې راټولوونکي ته رسېږي او د دوی syslog کرښې ښکاري۔ د همدغو ناستو په اړه د ASA خپل پیغامونه هېڅکله نه رارسېږي۔ نه راټولوونکي او نه تونل کې کومه ستونزه نشته، او همدا ګډوډ کوونکې برخه ده۔ فایر وال خپل لاګونه له هغې سرچینې لېږي چې تونل هېڅکله د هغې د ساتنې لپاره نه و جوړ شوی۔

څه رارسېږي او څه نه

د ډشبورډ پر مخ یو شان ښکارېدونکي دوه بهیرونه جلا کړئ۔ لېږدول شوی ټرافیک د ASA له لارې تېرېږي: یو LAN کوربه راټولوونکي ته لېږي، ASA هغه د تونل له تګلارې سره پرتله کوي، کوډ کوي یې، او راټولوونکی د کوربه پته ویني۔ جوړ شوی ټرافیک پر خود ASA پیلېږي: وسیله یو syslog بنډل جوړوي، وتونکی انټرفیس او سرچینه غوره کوي، او یوازې له هغې وروسته پوښتنه کوي چې ایا کومه تونل تګلاره سمون خوري۔ لومړی بهیر ثابتوي چې تونل کار کوي، او د دویم په اړه هېڅ نه وايي۔

پر وسیله بفر شوې پېښه هم د لرې رسولو ثبوت نه دی، ځکه لاګ کېدای شي په سیمه ییز ډول موجود وي او هېڅکله نه وي لېږل شوی۔ د تونل د ملامتولو مخکې د راټولوونکي د ترلاسه کولو شمارونکي وګورئ، ځکه تش شمارونکی له ودې کوونکي شمارونکي څخه بېله پایله ده۔

جوړ شوی پیغام لېږدول شوی ټرافیک نه دی

کله چې ASA پخپله بنډل جوړوي، هغه د LAN کوربه پراکسي نه کوي۔ سرچینه له وتونکي انټرفیس یا له ښکاره سرچینې ترتیباتو راځي، او بنډل په هماغه لار پلټنه او هماغه تګلاره څېړنو کې ننوځي لکه هر بل شی چې وسیله یې لېږي۔ دا مانا دا ده چې VPN سلیکټر باید هغه پته ولري چې ASA واقعاً کاروي، او دا ډېری وخت د هغې باندنی انټرفیس وي، نه داخلي فرعي شبکه۔

که تګلاره 10.20.0.0/24 ساتي او ASA خپله باندنۍ پته د سرچینې په توګه کاروي، نو د لاګ بنډل یا په روښانه متن کې هغه راټولوونکي ته وځي چې نه شي رسېدلی، یا غورځول کېږي۔ دواړه پایلې د راټولوونکي له اړخه یو شان ښکاري۔ هماغه منطق پر مدیریتي ټرافیک هم تطبیقېږي، نو ځکه management-access بېله ډیزاین پرېکړه ده۔

ASA پر شبکه کومه سرچینه ږدي

سرچینه په تجربوي ډول ومومئ، نه په انګېرنې۔ د ازموینې پیغام پر مهال پر وتونکي انټرفیس نیول واقعي سرچینه او منزل ښيي، او له درې کنفیګریشن برخو لوستلو څخه لږ وخت نیسي۔ هغه پته د تونل له سیمه ییز سلیکټر سره پرتله کړئ۔

ځینې خپرونې اجازه درکوي چې د لاګ سرچینه له یوه انټرفیس سره وتړئ، او ستاسو د نسخې لپاره د کمانډ حواله هغه واک دی چې ایا دا انتخاب شته او څه بدلوي۔ د بل Cisco پلیټ فارم source-interface کمانډ پر ASA په اتوماتيک ډول معتبر نه دی۔

که سرچینه بدل کړئ، په قصد یې بدل کړئ او ولیکئ، ځکه د راټولوونکي ACLونه او پر syslog ولاړ هر ډول اړیکه پر هغې تکیه ده۔

سلیکټر د لاګ بهیر سره سم کړئ

کله چې سرچینه معلومه شي، درې شیان په ترتیب وګورئ: هغه کریپټو ACL یا پر تګلاره ولاړ سلیکټر چې معلوموي کوم ټرافیک په زړه پورې دی، هغه لار چې معلوموي بنډل چېرته ځي، او هر هغه NAT قاعده چې کېدای شي سرچینه د کوډ کولو مخکې بیا ولیکي۔ هغه بنډل چې لار سره سمون خوري خو سلیکټر سره نه، تونل نه کېږي، او د NAT لخوا بیا لیکل شوی بنډل کېدای شي له هیچا سره سمون ونه خوري۔

د راټولوونکي اړخ خپلې غوښتنې لري: هغه ACL چې د ASA سرچینې ته اجازه ورکوي، د بېرته راستنېدو لار، او هغه خدمت چې ستاسو په کنفیګر شوي پورټ کې اورېدل کوي۔ لېږد دلته هم مهم دی، ځکه د جزوي بندې لارې پر سر TCP او TLS لاګ کول له UDP څخه بېل چلند کوي۔ یو ځل یو عنصر بدل کړئ، که نه نو راتلونکی نیول به ونه وايي کوم بدلون مهم و۔

د راټولوونکي سره تایید کړئ، بیا سرچینه ولیکئ

تایید کړئ چې پیغام رارسېږي، بیا هغه سرچینه پته ولیکئ چې ASA کارولې، هغه سلیکټر چې یې وړلې، او هغه شدت چې تاسو پرې ازموینه وکړه۔

هغه ریکارډ راتلونکی د راټولوونکي ACL بدلون یا د سلیکټر سمون د بیا کشف کولو پر ځای د دوو دقیقو څېړنه جوړوي۔ دا هم ثبتوي چې له دوو بهیرونو کوم یو کله هم تایید شوی، او همدا هغه برخه ده چې ډېری لارښودونه یې پرېږدي۔ که پیغام لا هم نه رارسېږي، د شدت حد په لنډمهاله توګه راکم کړئ او پر یوازې یو منزل ازموینه وکړئ۔

د Cisco د ASA لاګ کولو په اړه پوښتنې هغه پېښه ثبتوي چې باندنۍ سرچینه لري او د ساتل شوي ټرافیک اړوند تعریف ته اړتیا لري، او د دوی داخلي سرچینې بېلګه دواړه د داخلي لاګ کوربه او د داخلي management-access لري۔ ثبت شوې ترکیب او د سافټویر زمینه یوځای وګورئ، د دې پر ځای چې انګېرنه وکړئ یوه کاپي شوې کرښه هر کنفیګریشن ته ځای پر ځای کېږي۔

هغه تونل چې LAN ټرافیک وړي، هغه تونل نه دی چې د فایر وال خپله غږ وړي۔