ایا د VPN فرعي شبکه د ASA د انټرفیس د امنیت کچه ترلاسه کوي؟

د VPN ډیکریپټ شوې فرعي شبکه هیڅکله د انټرفیس د امنیت کچه نه ترلاسه کوي. sysopt connection permit-vpn، د ګروپ فلټر او د مدیریت لاسرسی جلا جلا وګورئ.

یو څوک پوښتنه کوي چې ایا د څانګې VPN فرعي شبکه په ASA کې «د امنیت کچه 0 یا 100» لري، او پوښتنه لا دمخه غلطي لري۔ د امنیت کچه د یو محلي انټرفیس ځانګړتیا ده او د انټرفیس په ترتیب کې له 0 څخه تر 100 پورې ټاکل کیږي۔ د تونل له لارې راغلې لرې فرعي شبکه هیڅ کچه نه ترلاسه کوي، هر څنګه چې crypto map لیکل شوی وي۔ نو پوښتنه هیڅ عددي ځواب نلري۔

عملي بله پوښتنه غوره ده: کومه تګلاره څانګې ته د سرور لاسرسی ورکوي او کومه یې له فایر وال څخه لرې ساتي۔ دا دوه ځوابونه دي، او لاندې پروسه دوی جلا کوي۔

د امنیت کچې انټرفیسونو پورې اړه لري

show running-config interface چل کړئ او تاسو به د هر فزیکي انټرفیس یا VLAN انټرفیس لاندې security-level وګورئ، نه د تونل ګروپ یا crypto map لاندې۔ له لوړ څخه تر ټیټ پورې اصلي اجازه د همدې انټرفیسونو ترمنځ ارزول کیږي، نو شمیره د خپلې لارې په اوږدو کې د کتنې او پټ ACL چلند بدلوي۔

د ډیکریپټ شوي VPN جریان لپاره، ننوتل لاهم outside انټرفیس دی چېرې تونل پای ته رسي، او وتل د سرور په لور inside انټرفیس دی۔ د هر څه لمس کولو دمخه دواړه ولیکئ۔ همدا یو ګام ډیره ګډه وډه لرې کوي، ځکه چې د باور انتزاعي پوښتنه په انټرفیس جوړه بدلوي۔

د ACL څخه تېرېدل یوه نومول شوې پوله لري

sysopt connection permit-vpn هغه تنظیم دی چې خلک نیمایي یادوي کله چې وایي VPN ترافیک ACL ته پام نه کوي۔ دا د VPN ترافیک په توګه د وړ ترافیک لپاره د انټرفیس ACL پریږدي، او د 9.x پیرامیټر لارښود دا د نړیوال استثنا اعلانولو پرځای د انټرفیس او لوري له مخې محدودوي۔

د حافظې څخه د استدلال کولو دمخه وګورئ چې څه ترتیب شوي:

  • show running-config all sysopt د ریښتیني ارزښت لیدلو لپاره، نه یوازې غیر اصلي کرښې۔
  • show running-config access-group د دې لیدلو لپاره چې کوم ACL په کوم انټرفیس او لوري تطبیق شوی۔
  • show vpn-sessiondb detail l2l د دې تایید لپاره چې غونډه واقعیا کوم تونل ګروپ او فلټر کاروي۔

د VPN لاسرسي د سختولو لپاره دا تنظیم بندول د لوی اغیز بدلون دی۔ دا هره وړ VPN جریان بیا بهرني ACL ته تابع کوي، چې معمولا روان تونلونه په داسې لارو ماتوي چې تاسو پوښتل شوي څانګې سره تړاو نلري۔

د غونډې سره تړلی فلټر ولولئ

د هر تونل لپاره ریښتینی کنټرول VPN فلټر دی: هغه ACL چې ګروپ پالیسي یا کارن نوم ورته اشاره کوي، د ډیکریپشن وروسته او د انکریپشن دمخه تطبیق کیږي۔ د کارن کچې فلټر د ګروپ کچې ارزښت باطلوي، نو په یوه تونل ګروپ کې دوه کسان کولای شي مختلف اغیزمن لاسرسی ولري۔

لومړیتوب تایید کړئ نه دا چې فرض یې کړئ۔ show running-config group-policy <name> د ګروپ ارزښت ښیي، او show running-config username <name> ښیي چې ایا د هر کارن لپاره ارزښت شته۔ که دواړه وي، د کارن ارزښت ګټي۔ بیا د هغه ACL داخلونه د هغه جریان سره چې تاسو ته مهم دی، په هغه لوري کې پرتله کړئ چې فلټر ارزوي۔

هغه فلټر چې د اپلیکیشن سرور اجازه ورکوي د مدیریت په اړه هیڅ نه وایي۔ دا په بېل لار کې بېل قواعد دي۔

یوه اجازه او یوه رد تایید کړئ

د کارن د راپور انتظار پرته د پرېکړې لیدلو ترټولو ګړندۍ لاره Packet-tracer ده۔ هغه ته د ډیکریپټ اړخ جریان ورکړئ او پرېږدئ چې هغه ACL، NAT او کتنې هغه پړاوونه ونومي چې تیریږي۔

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. د پایلې کرښه ولولئ: دا هغه ACL نوموي چې پیکټ ته اجازه ورکړه یا یې وغورځاوه۔
  3. په inside انټرفیس کې د اداري منزل سره تکرار کړئ او د رد تایید کړئ۔
  4. د هر بدلون وروسته یو ځل بیا تکرار کړئ، ترڅو دواړه مخکې او وروسته حالتونه ثبت شي۔

بیا د ریښتیني ترافیک سره تایید کړئ: له څانګې یوه بریالۍ اپلیکیشن غوښتنه او ASA ته یوه ناکامه SSH هڅه۔ Packet-tracer لاره ماډل کوي؛ ژوندی جریان ثابتوي چې ماډل سره سمون درلود۔

هغه بدلون بیرته راوګرځوئ چې دا یې کار ته واچاوه

که حل د ACL تېرېدل بندول یا فلټر پراخول و، پخوانی ترتیب وساتئ۔ د بدلون دمخه خوندي شوی د اغیزمنو شیانو show run کیپچر د هغوی بحالي لپاره کافي دی؛ ASA ترتیب کرښه محور دی، نو بیرته راګرځول پخوانۍ کرښې بیا دننه کول دي، نه د فایل بحالي۔

د انټرفیسونو جوړه، اغیزمن فلټر، له packet-tracer څخه د ACL نوم او هغه دقیقې لارښوونې چې تاسو بدلې کړې ثبت کړئ۔ هغه ریکارډ بله کتنه د باور کچو په اړه بله بحث ته د پنځو دقیقو کتنې په توګه بدلوي۔

اړوندې مقالې