Ce regulă ASA vede traficul după ce VPN-ul îl decriptează

Prima presupunere de abandonat este că ACL-ul criptografic este o politică de acces. Nu este. Pe un Cisco ASA, acea listă răspunde la o întrebare îngustă: ce pachete merită protecție, iar răspunsul nu spune nimic despre dacă pachetul decriptat poate ajunge la serverul din spatele firewall-ului. Accesul se decide mai târziu, printr-o politică de interfață, printr-un filtru de politică de grup sau prin ambele, în funcție de modul în care a fost construit tunelul.

ACL-ul criptografic răspunde la altă întrebare

Un ACL criptografic este o listă de potriviri. Spune tunelului ce să cripteze între două părți; un pachet care nu se potrivește pur și simplu nu este protejat. Extinderea lui schimbă amploarea protecției și nimic altceva.

De aceea adăugarea unei subrețele acolo poate ridica un tunel în timp ce aplicația propriu-zisă eșuează în continuare. Tunelul este sus pentru că acum există o potrivire. Aplicația eșuează în continuare pentru că nimic din acea listă nu permite nimic. Două întrebări diferite, două liste diferite.

Ce sare de fapt setarea de ocolire

sysopt connection permit-vpn permite traficului protejat să sară peste verificarea ACL-ului interfeței care altfel s-ar aplica pe partea de intrare. Este o comoditate pentru implementările VPN și este globală. Nu atinge politica de grup și nu atinge un filtru de autorizare pe utilizator.

Citiți valoarea reală în locul presupunerii: show running-config all sysopt afișează setarea chiar și atunci când nu a fost configurată niciodată explicit, și de acolo începe multă confuzie.

Deoarece setarea este globală, testarea ei ca experiment rapid pe o singură subrețea defectă este un schimb prost. Fiecare alt tunel de pe acel firewall împărtășește rezultatul. Păstrați-o pentru o schimbare deliberată cu un plan de revenire.

Citiți filtrul în direcția decriptată

Un vpn-filter LAN-to-LAN se scrie din perspectiva tunelului, nu a interfeței. Rețeaua îndepărtată stă în poziția de sursă, iar rețeaua locală în poziția de destinație, pentru că așa arată pachetul după decriptare. Același filtru este apoi evaluat din nou în direcția opusă înainte de criptare, cu rolurile adreselor inversate.

Condițiile de port merită mai multă grijă decât un ACL de interfață copiat exact din acest motiv. O regulă care permite un port de destinație poate avea un efect nedorit în direcția inversă, unde o conexiune nouă folosește acel port ca sursă. Notați care parte poate iniția, serviciul real și partea opusă care trebuie să rămână închisă înainte de a construi lista.

Confirmați ce filtru este într-adevăr atașat: show running-config group-policy și show vpn-sessiondb detail l2l împreună arată ce a moștenit sesiunea. Editarea unui ACL la care nu face referire nicio politică nu schimbă nimic.

Nu refolosiți un singur obiect ACL pentru două sarcini

Un access-group de interfață și un vpn-filter par același tip de obiect și sunt evaluate în puncte diferite cu orientări diferite ale adreselor. Atribuirea unei singure liste la ambele invită la o schimbare care repară tunelul și slăbește în tăcere interfața fizică.

Țineți-le separate, numiți-le după sarcina lor și lăsați diferența de direcție vizibilă în nume.

Verificați cu conexiuni noi, în ambele direcții

După o schimbare planificată, deschideți o conexiune nouă care ar trebui permisă și una care ar trebui refuzată, apoi notați adresele, direcția și potrivirea politicii împreună cu rezultatul. O sesiune stabilită nu dovedește nimic despre filtrarea conexiunilor noi, pentru că a fost deja admisă conform regulilor vechi.

Luați în calcul și inspecția. Documentația producătorului notează că un filtru VPN verifică conexiunea inițială, nu fiecare conexiune secundară deschisă de un motor de inspecție, așa că un canal de control și fluxul media asociat pot primi un tratament diferit. Dacă aplicația cunoaște protocolul, testați fluxul real în locul unei singure sondări de port.

Un tunel care devine utilizabil după o ocolire largă spune că restricția a fost eliminată, nu că a fost îndeplinită. Rezultatul care merită păstrat este un punct de aplicare cu nume la care puteți face referire la următoarea revizuire.