Qual regra do ASA vê o tráfego depois que o VPN o desencripta

A primeira suposição a abandonar é a de que a ACL de criptografia é uma política de acesso. Não é. Num Cisco ASA, essa lista responde a uma pergunta estreita: quais pacotes merecem proteção, e essa resposta não diz nada sobre se o pacote desencriptado pode chegar ao servidor por trás da firewall. O acesso decide-se mais tarde, por uma política de interface, por um filtro de política de grupo ou por ambos, conforme a forma como o túnel foi construído.

A ACL de criptografia responde a outra pergunta

Uma ACL de criptografia é uma lista de correspondências. Diz ao túnel o que encriptar entre dois pares; um pacote que não corresponda simplesmente não fica protegido. Alargá-la muda o âmbito da proteção e nada mais.

É por isso que acrescentar uma sub-rede ali pode levantar um túnel enquanto a aplicação real continua a falhar. O túnel está de pé porque agora existe uma correspondência. A aplicação continua a falhar porque nada nessa lista permite nada. Duas perguntas diferentes, respondidas por duas listas diferentes.

O que a definição de contorno realmente salta

sysopt connection permit-vpn permite que o tráfego protegido salte a verificação da ACL de interface que de outro modo se aplicaria no lado de entrada. É uma comodidade para implementações de VPN e é global. Não toca na política de grupo nem toca num filtro de autorização por utilizador.

Leia o valor real em vez da suposição: show running-config all sysopt imprime a definição mesmo quando nunca foi configurada explicitamente, e é aí que começa muita confusão.

Como a definição é global, testá-la como experiência rápida numa sub-rede que falha é uma má troca. Todos os outros túneis dessa firewall partilham o resultado. Guarde-a para uma alteração deliberada com um plano de reversão.

Leia o filtro na direção desencriptada

Uma vpn-filter LAN-to-LAN escreve-se do ponto de vista do túnel, não da interface. A rede remota fica na posição de origem e a rede local na de destino, porque é assim que o pacote se parece depois da desencriptação. O mesmo filtro é depois avaliado novamente na direção oposta antes da encriptação, com os papéis dos endereços invertidos.

As condições de porta merecem mais cuidado do que uma ACL de interface copiada exatamente por esse motivo. Uma regra que permite uma porta de destino pode ter um efeito indesejado na direção inversa, onde uma ligação nova usa essa porta como origem. Anote que lado pode iniciar, o serviço real e a contraparte que deve permanecer fechada antes de construir a lista.

Confirme que filtro está realmente associado: show running-config group-policy e show vpn-sessiondb detail l2l juntos dizem o que a sessão herdou. Editar uma ACL à qual nenhuma política faz referência não muda nada.

Não reutilize um único objeto ACL para dois trabalhos

Uma access-group de interface e uma vpn-filter parecem o mesmo tipo de objeto e são avaliadas em pontos diferentes com orientações de endereço diferentes. Atribuir uma lista a ambas convida a uma alteração que corrige o túnel e afrouxa em silêncio a interface física.

Mantenha-as separadas, dê-lhes nomes conforme o trabalho e deixe a diferença de direção visível nos nomes.

Verifique com ligações novas, em ambas as direções

Após uma alteração planeada, abra uma ligação nova que deva ser permitida e outra que deva ser negada, e depois registe os endereços, a direção e a correspondência de política juntamente com o resultado. Uma sessão estabelecida não prova nada sobre a filtragem de ligações novas, porque já foi admitida com as regras antigas.

Conte também com a inspeção. A documentação do fabricante nota que um filtro VPN verifica a ligação inicial e não cada ligação secundária que um motor de inspeção abre, pelo que um canal de controlo e o respetivo fluxo de média podem receber tratamento diferente. Se a aplicação conhece o protocolo, teste o fluxo real em vez de uma única sonda de porta.

Um túnel que se torna utilizável após um contorno amplo diz que a restrição foi removida, não que foi satisfeita. O resultado que vale a pena conservar é um ponto de aplicação com nome ao qual possa apontar na próxima revisão.