Uma sub-rede VPN herda o nível de segurança da interface ASA?

Alguém pergunta se a sub-rede VPN da filial tem «nível de segurança 0 ou 100» no ASA, e a pergunta já contém o erro. O nível de segurança é uma propriedade de uma interface local e é atribuído de 0 a 100 na configuração da interface. Uma sub-rede remota que chega por um túnel não adquire nenhum, independentemente de como o crypto map está escrito. Por isso a pergunta não tem resposta numérica.

A pergunta prática seguinte é melhor: qual política admite a filial até ao servidor e qual a mantém longe da própria firewall. São duas respostas, e o procedimento abaixo separa-as.

Os níveis de segurança pertencem às interfaces

Execute show running-config interface e verá security-level sob cada interface física ou interface VLAN, não sob o grupo de túneis nem o crypto map. A permissão predefinida de maior para menor é avaliada entre essas interfaces, e é por isso que o número altera o comportamento da inspeção e da ACL implícita no caminho a que pertence.

Num fluxo VPN descriptografado, a entrada continua a ser a interface outside onde o túnel termina, e a saída é a interface inside para o servidor. Anote ambas antes de tocar em qualquer coisa. Esse único passo elimina a maior parte da confusão, porque transforma uma pergunta abstrata de confiança num par de interfaces.

A omissão da ACL tem uma fronteira com nome

sysopt connection permit-vpn é a definição que as pessoas recordam pela metade quando dizem que o tráfego VPN ignora as ACL. Ela salta de facto a ACL da interface para o tráfego que se qualifica como tráfego VPN, e o guia de parâmetros 9.x limita-a por interface e direção em vez de declarar uma exceção global.

Verifique o que está configurado antes de raciocinar de memória:

• show running-config all sysopt para ver o valor efetivo, não apenas as linhas que não são predefinidas.
• show running-config access-group para ver que ACL está aplicada a que interface e direção.
• show vpn-sessiondb detail l2l para confirmar que grupo de túneis e que filtro a sessão usa realmente.

Desativar essa definição para apertar o acesso VPN é uma alteração com grande impacto. Volta a submeter cada fluxo VPN qualificado à ACL exterior, o que normalmente quebra túneis a funcionar de formas sem relação com a filial sobre a qual lhe perguntaram.

Leia o filtro associado à sessão

O controlo real por túnel é o filtro VPN: uma ACL referenciada pela política de grupo ou pelo nome de utilizador, aplicada após a descriptografia e antes da encriptação. Um filtro ao nível do utilizador substitui o valor ao nível do grupo, pelo que duas pessoas no mesmo grupo de túneis podem ter um acesso efetivo diferente.

Confirme a precedência em vez de a assumir. show running-config group-policy <name> mostra o valor do grupo, e show running-config username <name> mostra se existe um valor por utilizador. Se ambos existirem, ganha o valor do utilizador. Depois compare as entradas dessa ACL com o fluxo que lhe interessa, na direção em que o filtro avalia.

Um filtro que permite o servidor de aplicações não diz nada sobre gestão. São regras separadas num caminho separado.

Verifique uma permissão e uma negação

Packet-tracer é a forma mais rápida de ver a decisão sem esperar que um utilizador a reporte. Dê-lhe o fluxo do lado descriptografado e deixe-o nomear as etapas de ACL, NAT e inspeção por que passa.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Leia a linha do resultado: nomeia a ACL que permitiu ou descartou o pacote.
3. Repita com o destino administrativo na interface inside e confirme uma negação.
4. Repita mais uma vez após qualquer alteração, para que fiquem registados tanto o estado anterior como o posterior.

Depois verifique com tráfego real: um pedido de aplicação bem-sucedido a partir da filial e uma tentativa SSH falhada para o ASA. Packet-tracer modela o caminho; um fluxo real prova que o modelo correspondia.

Reverta a alteração que o fez funcionar

Se a correção foi desativar a omissão da ACL ou alargar um filtro, mantenha a configuração anterior. Uma captura show run dos objetos afetados, guardada antes da alteração, basta para os restaurar; a configuração do ASA é orientada a linhas, pelo que reverter significa reintroduzir as linhas antigas, não restaurar um ficheiro.

Registe o par de interfaces, o filtro efetivo, o nome da ACL do packet-tracer e os comandos exatos que alterou. Esse registo transforma a revisão seguinte numa verificação de cinco minutos em vez de outro debate sobre níveis de confiança.