Koje ASA pravilo vidi promet nakon što ga VPN dešifrira

Prva pretpostavka koju treba odbaciti jest da je kripto ACL pristupna politika. Nije. Na Cisco ASA taj popis odgovara na jedno usko pitanje: koji paketi zaslužuju zaštitu, a taj odgovor ništa ne kaže o tome smije li dešifrirani paket doći do poslužitelja iza vatrozida. O pristupu se odlučuje kasnije, politikom sučelja, filtrom grupne politike ili oboje, ovisno o tome kako je tunel uspostavljen.

Kripto ACL odgovara na drugo pitanje

Kripto ACL je popis podudaranja. Tunelu kaže što šifrirati između dva partnera; paket koji se s njim ne podudara jednostavno nije zaštićen. Njegovo proširenje mijenja opseg zaštite i ništa drugo.

Zato dodavanje podmreže ondje može podići tunel, dok stvarna aplikacija i dalje ne radi. Tunel je podignut jer sada postoji podudaranje. Aplikacija i dalje ne radi jer ništa na tom popisu ništa ne dopušta. Dva različita pitanja, dva različita popisa.

Što postavka zaobilaznog puta doista preskače

sysopt connection permit-vpn dopušta zaštićenom prometu da preskoči provjeru ACL-a sučelja koja bi inače vrijedila na ulaznoj strani. To je pogodnost za VPN implementacije i globalna je. Ne dira grupnu politiku i ne dira filter autorizacije po korisniku.

Čitajte stvarnu vrijednost, a ne pretpostavku: show running-config all sysopt ispisuje postavku čak i kada nikada nije bila izričito konfigurirana, i tu počinje mnogo zabune.

Budući da je postavka globalna, testiranje na jednoj podmreži koja ne radi je loša razmjena. Svi ostali tuneli na tom vatrozidu dijele rezultat. Sačuvajte je za namjernu promjenu s planom povratka.

Čitajte filtar u smjeru dešifriranja

LAN-to-LAN vpn-filter piše se iz perspektive tunela, a ne sučelja. Udaljena mreža ide na mjesto izvora, a lokalna mreža na mjesto odredišta, jer tako paket izgleda nakon dešifriranja. Isti se filtar zatim ponovno ocjenjuje u suprotnom smjeru prije šifriranja, uz obrnute uloge adresa.

Uvjeti za portove zaslužuju više pažnje od kopiranog ACL-a sučelja upravo zato. Pravilo koje dopušta jedan odredišni port može u obrnutom smjeru imati neželjeni učinak, gdje nova veza taj port koristi kao izvorišni. Prije izrade popisa zapišite koja strana smije pokrenuti vezu, stvarnu uslugu i partnera koji mora ostati zatvoren.

Potvrdite koji je filtar stvarno pridružen: show running-config group-policy i show vpn-sessiondb detail l2l zajedno pokazuju što je sesija naslijedila. Uređivanje ACL-a na koji se nijedna politika ne poziva ne mijenja ništa.

Ne koristite jedan ACL objekt za dva posla

Sučeljni access-group i vpn-filter izgledaju kao ista vrsta objekta, a ocjenjuju se u različitim točkama i s različitom orijentacijom adresa. Dodjela jednog popisa objema poziva na promjenu koja popravi tunel i tiho oslabi fizičko sučelje.

Držite ih odvojeno, nazovite ih po poslu koji obavljaju i neka razlika u smjeru bude vidljiva u nazivima.

Provjerite novim vezama, u oba smjera

Nakon planirane promjene otvorite jednu novu vezu koja bi trebala biti dopuštena i jednu koja bi trebala biti odbijena, pa uz rezultat zapišite adrese, smjer i podudaranje politike. Uspostavljena sesija ne dokazuje ništa o filtriranju novih veza jer je već propuštena po starim pravilima.

Uzmite u obzir i inspekciju. Dokumentacija proizvođača napominje da VPN filtar provjerava početnu vezu, a ne svaku sekundarnu vezu koju otvori inspekcijski mehanizam, pa kontrolni kanal i pripadajući medijski tok mogu dobiti različit tretman. Ako aplikacija poznaje protokol, testirajte stvarni tok, a ne jednu sondu na portu.

Tunel koji postane upotrebljiv nakon širokog zaobilaznog puta govori da je ograničenje uklonjeno, a ne da je zadovoljeno. Ishod koji vrijedi zadržati je imenovana točka provedbe na koju možete pokazati na sljedećem pregledu.