Какое правило ASA видит трафик после того, как VPN его расшифрует

Первое допущение, от которого нужно отказаться, — что крипто-ACL является политикой доступа. Это не так. На Cisco ASA этот список отвечает на один узкий вопрос: какие пакеты заслуживают защиты, и этот ответ ничего не говорит о том, может ли расшифрованный пакет достичь сервера за межсетевым экраном. Доступ решается позже — политикой интерфейса, фильтром групповой политики или тем и другим, в зависимости от того, как построен туннель.

Крипто-ACL отвечает на другой вопрос

Крипто-ACL — это список сопоставления. Он говорит туннелю, что шифровать между двумя сторонами; пакет, который с ним не совпадает, просто не защищён. Его расширение меняет охват защиты и ничего больше.

Именно поэтому добавление подсети там может поднять туннель, тогда как само приложение всё ещё не работает. Туннель поднят, потому что совпадение теперь есть. Приложение не работает, потому что ничто в этом списке ничего не разрешает. Два разных вопроса, два разных списка.

Что на самом деле пропускает настройка обхода

sysopt connection permit-vpn позволяет защищённому трафику пропустить проверку ACL интерфейса, которая иначе применялась бы на входящей стороне. Это удобство для развёртываний VPN, и оно глобальное. Оно не затрагивает групповую политику и не затрагивает фильтр авторизации отдельного пользователя.

Читайте фактическое значение, а не допущение: show running-config all sysopt выводит настройку даже тогда, когда она никогда не задавалась явно, и именно отсюда начинается много путаницы.

Поскольку настройка глобальная, проверять её как быстрый эксперимент на одной неработающей подсети — плохой обмен. Каждый другой туннель на этом межсетевом экране разделяет результат. Сохраните её для осознанного изменения с планом отката.

Читайте фильтр в направлении расшифровки

Фильтр vpn-filter для LAN-to-LAN пишется с точки зрения туннеля, а не интерфейса. Удалённая сеть оказывается на месте источника, а локальная — на месте назначения, потому что именно так выглядит пакет после расшифровки. Затем тот же фильтр ещё раз оценивается в обратном направлении перед шифрованием, с обратными ролями адресов.

Условия для портов требуют больше внимания, чем скопированный ACL интерфейса, именно по этой причине. Правило, разрешающее один порт назначения, может дать нежелательный эффект в обратном направлении, где новое соединение использует этот порт как источник. Прежде чем строить список, запишите, какая сторона может инициировать, что представляет собой реальная служба и какая встречная сторона должна оставаться закрытой.

Подтвердите, какой фильтр действительно привязан: show running-config group-policy и show vpn-sessiondb detail l2l вместе показывают, что унаследовала сессия. Правка ACL, на который не ссылается ни одна политика, ничего не меняет.

Не используйте один объект ACL для двух задач

Интерфейсный access-group и vpn-filter выглядят как объект одного типа и оцениваются в разных точках с разной ориентацией адресов. Назначение одного списка обоим приглашает изменение, которое исправит туннель и тихо ослабит физический интерфейс.

Держите их раздельно, называйте по их задаче и делайте разницу в направлении видимой в именах.

Проверяйте новыми соединениями, в обоих направлениях

После запланированного изменения откройте одно новое соединение, которое должно быть разрешено, и одно новое соединение, которое должно быть отклонено, а затем запишите адреса, направление и совпадение политики вместе с результатом. Установленная сессия ничего не доказывает о фильтрации новых соединений, потому что она уже была пропущена по старым правилам.

Учитывайте и инспекцию. Документация производителя отмечает, что фильтр VPN проверяет начальное соединение, а не каждое вторичное соединение, открываемое механизмом инспекции, поэтому управляющий канал и связанный с ним медиапоток могут получить иное обращение. Если приложение знает протокол, проверяйте реальный поток, а не один щуп по порту.

Туннель, который становится пригодным после широкого обхода, говорит о том, что ограничение сняли, а не о том, что его выполнили. Результат, который стоит сохранить, — это именованная точка применения, на которую можно указать при следующем обзоре.