Наследует ли подсеть VPN уровень безопасности интерфейса ASA?

Расшифрованная подсеть VPN никогда не наследует уровень безопасности интерфейса. Проверьте отдельно sysopt connection permit-vpn, фильтр группы и доступ администратора.

Кто-то спрашивает, имеет ли подсеть VPN филиала «уровень безопасности 0 или 100» на ASA, и вопрос уже содержит ошибку. Уровень безопасности — свойство локального интерфейса, он назначается от 0 до 100 в конфигурации интерфейса. Удалённая подсеть, приходящая через туннель, его не получает, как бы ни был написан crypto map. Поэтому у вопроса нет числового ответа.

Практичный следующий вопрос лучше: какая политика пускает филиал к серверу, а какая держит его вдали от самого межсетевого экрана. Это два ответа, и процедура ниже разделяет их.

Уровни безопасности принадлежат интерфейсам

Выполните show running-config interface, и вы увидите security-level под каждым физическим интерфейсом или интерфейсом VLAN, а не под группой туннеля или crypto map. Разрешение по умолчанию от старшего к младшему оценивается между этими интерфейсами, поэтому число меняет поведение проверки и неявного ACL на пути, которому принадлежит.

Для расшифрованного потока VPN вход по-прежнему внешний интерфейс, где заканчивается туннель, а выход — внутренний интерфейс к серверу. Запишите оба, прежде чем что-либо трогать. Этот один шаг убирает большую часть путаницы, потому что превращает абстрактный вопрос доверия в пару интерфейсов.

Обход ACL имеет названную границу

sysopt connection permit-vpn — это настройка, которую люди помнят наполовину, когда говорят, что трафик VPN игнорирует ACL. Она действительно пропускает ACL интерфейса для трафика, который квалифицируется как трафик VPN, а руководство по параметрам 9.x ограничивает её по интерфейсу и направлению, а не объявляет глобальное исключение.

Проверьте, что настроено, прежде чем рассуждать по памяти:

  • show running-config all sysopt чтобы увидеть действующее значение, а не только строки, отличные от стандартных.
  • show running-config access-group чтобы увидеть, какой ACL применён к какому интерфейсу и направлению.
  • show vpn-sessiondb detail l2l чтобы убедиться, какую группу туннеля и какой фильтр действительно использует сеанс.

Отключение этой настройки для ужесточения доступа VPN — изменение с большим радиусом действия. Оно снова подчиняет каждый подходящий поток VPN внешнему ACL, что обычно ломает работающие туннели способами, не связанными с филиалом, о котором вас спросили.

Прочитайте фильтр, привязанный к сеансу

Настоящее управление на туннель — это фильтр VPN: ACL, на который ссылается групповая политика или имя пользователя, применяется после расшифровки и до шифрования. Фильтр уровня пользователя перекрывает значение уровня группы, поэтому два человека в одной группе туннеля могут иметь разный фактический доступ.

Подтвердите приоритет, а не предполагайте его. show running-config group-policy <name> показывает значение группы, а show running-config username <name> показывает, существует ли значение для пользователя. Если существуют оба, побеждает значение пользователя. Затем сравните записи этого ACL с интересующим вас потоком в направлении, в котором оценивает фильтр.

Фильтр, разрешающий сервер приложений, ничего не говорит об управлении. Это отдельные правила на отдельном пути.

Проверьте одно разрешение и один запрет

Packet-tracer — самый быстрый способ увидеть решение, не дожидаясь сообщения пользователя. Дайте ему поток со стороны расшифровки и позвольте назвать этапы ACL, NAT и проверки, которые он проходит.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прочитайте строку результата: она называет ACL, который разрешил или отбросил пакет.
  3. Повторите с административным назначением на внутреннем интерфейсе и подтвердите запрет.
  4. Повторите ещё раз после любого изменения, чтобы были записаны и предыдущее, и последующее состояние.

Затем проверьте реальным трафиком: один успешный запрос приложения из филиала и одна неудачная попытка SSH к ASA. Packet-tracer моделирует путь; живой поток доказывает, что модель совпала.

Откатите изменение, которое заставило это работать

Если исправлением было отключение обхода ACL или расширение фильтра, сохраните предыдущую конфигурацию. Снимок show run затронутых объектов, сохранённый до изменения, достаточен для их восстановления; конфигурация ASA ориентирована на строки, поэтому откат означает повторный ввод старых строк, а не восстановление файла.

Запишите пару интерфейсов, действующий фильтр, имя ACL из packet-tracer и точные команды, которые вы изменили. Эта запись превращает следующую проверку в пятиминутную сверку вместо очередного спора об уровнях доверия.

Похожие статьи