ولې د ASA لیرې کارن سبنیټ ته رسېږي خو اپلیکیشن ته نه
لارې ثابتوي چې تونل کار کوي، نه دا چې کارن کولی شي اپلیکیشن پرانیزي. هغه فلټر ولولئ چې ناستې ترلاسه کړی، بیا اجازه شوې او رد شوې اړیکه وازموئ.
ستاسو کارن نښلېږي، پته ترلاسه کوي، د اپلیکیشن سبنیټ کې سرور ته پنګ کوي، او بیا هم پر هغه خدمت نه شي پرانیستلی۔ دا یوځایوالی په ASA کې نورمال دی، ځکه بریالی تونل او د کارېدو وړ اجازه د بېلو تنظیماتو له مخې ټاکل کېږي۔ د وېشل شوي تونل لیست غوره کړ چې کومې موخې تونل ته ننوځي؛ VPN فلټر او د موخې خپلې لاسرسي قاعدې ټاکي چې ډیکریپټ شوې غوښتنه چېرته رسېدلی شي۔ د لارو لیست پراخولو پر ځای درې پرېکړې په ترتیب سره وګورئ، تر څو چې یو څه بدل شي۔
درې پرېکړې چې ګډوډول یې اسانه دي
داخله ځواب ورکوي چې کارن کولی شي تونل جوړ کړي که نه: اعتبارنامې، سند او هر دویم فکتور۔ د لارې ټاکنه ځواب ورکوي چې کلاینټ کومې موخې هغه تونل ته لېږي۔ اجازه ځواب ورکوي چې ډیکریپټ شوې غوښتنه کولی شي خدمت ته ورسیږي که نه۔ یوازې درېیمه هغه تېروتنه جوړوي چې کارن یې راپور ورکوي۔
د هغوی د بېلوولو چټکه لاره دا ده چې وپوښتئ یو بدلون به څه مات کړي۔ له وېشل شوي لیست څخه د لارې لرې کول هغه سبنیټ ته ترافیک بندوي خو هیڅ نه ورکوي؛ VPN فلټر ته د ACE زیاتول موخه ورکوي خو د کلاینټ تونل کول نه بدلوي۔
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
هغه فلټر ولولئ چې ناستې واقعاً ترلاسه کړی
له ژوندې ناستې پیل وکړئ، نه له هغه ترتیباتو چې تاسو فکر کوئ عملي دي۔ show vpn-sessiondb detail anyconnect ټاکل شوې ډله ایزه تګلاره او د هغې ناستې سره تړلی فلټر نوم چاپوي۔ که ساحه خالي وي، هیڅ فلټر هیڅ نه پلی کوي او بندول له بل ځایه راځي۔
بیا هغه تګلاره ولولئ چې ارزښت لري، د تلوالې ارزښتونو سره یوځای، ځکه فلټر کېدای شي میراثي وي نه هغه ځای کې لیکل شوی چې تاسو ګورئ:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
په ناسته کې د فلټر نوم له هغه ACL سره پرتله کړئ چې همدا اوس مو سم کړ۔ ورته نوم لرونکی ACL چې کارن هېر هم نه دی ترلاسه کړی، د هغې ناستې د سرچینو تګلاره نه شي بدلولی، او دا هغه تر ټولو عام دلیل دی چې سم ښکارېدونکی بدلون بې اغېزې وي۔
لومړیتوب پاتې برخه تشریح کوي۔ د فلټر تنظیم لپاره، DAP ریکارډ د کارن نوم ځانګړنو څخه لوړ دی، او د کارن نوم ځانګړنې د ډلې تګلارې څخه لوړې دي۔ کله چې ناسته ناڅاپي فلټر وښیي، مخکې له دې چې ډلې ته لاس ووهئ، د هغه کارن سره سمون لرونکې DAP تګلاره ولټوئ۔
وېشل شوی لیست او فلټر بېلې ساحې دي
په ASA 9.x کې ډله ایزه تګلاره split-tunnel-network-list او vpn-filter د بېلو تنظیماتو په توګه ساتي، او د 9.22 ډلې-تګلارې لارښود همدې دلیل لپاره هغوی بېل بېل مستند کوي۔ د شبکې لیست د کلاینټ لپاره د لارښوونې اشاره ده؛ فلټر هغه د لاسرسي کنټرول لیست دی چې په ډیکریپټ شوي ترافیک پلی کېږي۔
دا توپیر هغه وخت مهم دی چې کارن په سبنیټ کې یوازې یو HTTPS خدمت ته اړتیا لري۔ سبنیټ په وېشل شوي لیست کې کېږدئ تر څو پاکټونه تونل ته ننوځي، بیا په فلټر کې یوازې هغه خدمت ته اجازه ورکړئ۔ د لارو لیست پراخول هیڅ نه اجازه ورکوي، او راکمول یې د پلي کولو میکانیزم نه دی۔
وګورئ چې د انټرفیس ACL هم په لار کې دی که نه
ډیکریپټ شوی لیرې لاسرسي ترافیک تل د باندیني انټرفیس ACL څخه نه تېرېږي لکه څنګه چې خلک انګېري۔ چېرته چې sysopt connection permit-vpn فعال دی، هلته ASA هغه ترافیک لپاره خپل مستند VPN تېرېدل پلی کوي، په داسې حال کې چې اړوند VPN فلټرونه وروسته هم عملي دي۔ تنظیم په show run all sysopt سره وګورئ، د ټوپولوژي انځور څخه د استدلال پر ځای۔
په هر حال، د موخې هوسټ خپل فایر وال او د اپلیکیشن اجازه په لار کې پاتې کېږي۔ هغه ASA قاعده چې TCP 443 ته اجازه ورکوي اپلیکیشن اړ نه کوي چې کارن ومني۔
بدلون په رد شوې اړیکه سره هم ومنئ
یوازې اجازه شوې ازموینه ډېر لږ ثابتوي، ځکه چې کار کوونکی تونل هماغه لومړنی پاکټ جوړوي، که فلټر وي یا نه وي۔ له کلاینټ څخه هدف خدمت پرانیزئ، بیا هغه موخه وآزموئ چې باید بنده پاتې شي او تایید کړئ چې په سم دلیل ناکامېږي۔
کله چې ټکټ بندوئ، څلور حقایق ولیکئ: منل شوې هویت، هغه تګلاره او فلټر چې ناستې واقعاً ترلاسه کړي، د وېشل شوي لیست موخې، او هغه سرچینه چې کارن ته اجازه وه ورته ورسیږي۔ دا څلور څرګندوي چې ترافیک چېرته کنټرولېږي، پرته له دې چې د لارو لیست فایر وال ته واړوئ۔
که فلټر اجازه ورکړه او بیا هم خدمت انکار کوي، هوسټ ته لاړ شئ: د اورېدو پته، د هوسټ فایر وال او د اپلیکیشن خپل کارن نقشه۔ په هغه وخت تونل خپله دنده ترسره کړه، او په ASA کې نور بدلونونه یوازې خطر زیاتوي۔