VPN ඩීක්‍රිප්ට් කළ පසු කුමන ASA නීතිය ට්‍රැෆික් දකින්නේද

මුලින්ම අත්හැරිය යුතු උපකල්පනය නම් ක්‍රිප්ටෝ ACL යනු ප්‍රවේශ ප්‍රතිපත්තියක් යන්නයි. එය එසේ නොවේ. Cisco ASA එකක එම ලැයිස්තුව පටු ප්‍රශ්නයකට පමණක් පිළිතුරු දෙයි: කුමන පැකට්ටු ආරක්ෂණයට සුදුසුද, එම පිළිතුර ඩීක්‍රිප්ට් කළ පැකට්ටුව ගිනිපවුර පිටුපස සර්වරයට ළඟා විය හැකිද යන්න ගැන කිසිවක් නොකියයි. ප්‍රවේශය පසුව තීරණය වේ — අතුරුමුහුණත් ප්‍රතිපත්තියකින්, කණ්ඩායම් ප්‍රතිපත්ති පෙරහනකින්, හෝ දෙකෙන්ම, උමග ගොඩනගා ඇති ආකාරය අනුව.

ක්‍රිප්ටෝ ACL වෙනත් ප්‍රශ්නයකට පිළිතුරු දෙයි

ක්‍රිප්ටෝ ACL යනු ගැලපීම් ලැයිස්තුවකි. පාර්ශ්ව දෙකක් අතර කුමක් සංකේතනය කළ යුතුද යන්න උමගට කියයි; එයට නොගැලපෙන පැකට්ටුව ආරක්ෂා නොවේ. එය පුළුල් කිරීමෙන් ආරක්ෂණයේ විෂය පථය වෙනස් වේ, අන් කිසිවක් නොවේ.

එබැවින් එහි උපජාලයක් එකතු කිරීමෙන් උමග ඉහළට එනු ඇත, නමුත් සැබෑ යෙදුම තවමත් අසාර්ථක වේ. උමග ඉහළින් ඇත්තේ දැන් ගැලපීමක් ඇති නිසාය. යෙදුම අසාර්ථක වන්නේ එම ලැයිස්තුවේ කිසිවක් කිසිවකට අවසර නොදෙන නිසාය. වෙනස් ප්‍රශ්න දෙකක්, වෙනස් ලැයිස්තු දෙකක්.

මඟහැරීමේ සැකසුම සැබවින්ම මඟහැරෙන්නේ කුමක්ද

sysopt connection permit-vpn ආරක්ෂිත ට්‍රැෆික් එකට ඇතුළු වන පැත්තේ වෙනත් ආකාරයකින් අදාළ වන අතුරුමුහුණත් ACL පරීක්ෂාව මඟහැරීමට ඉඩ දෙයි. එය VPN යෙදවීම් සඳහා පහසුකමක් වන අතර එය ගෝලීයය. එය කණ්ඩායම් ප්‍රතිපත්තියට හෝ පරිශීලකයාට අදාළ අවසර පෙරහනට හෝ බලපාන්නේ නැත.

උපකල්පනය වෙනුවට සැබෑ අගය කියවන්න: show running-config all sysopt කිසිදා පැහැදිලිව වින්‍යාස නොකළ විටද සැකසුම මුද්‍රණය කරයි, බොහෝ ව්‍යාකූලත්වය ආරම්භ වන්නේ එතැනිනි.

සැකසුම ගෝලීය බැවින්, අසාර්ථක උපජාලයක ඉක්මන් පරීක්ෂණයක් ලෙස එය පරීක්ෂා කිරීම නරක ගනුදෙනුවකි. එම ගිනිපවුරේ සෑම අනෙක් උමගක්ම ප්‍රතිඵලය බෙදාගනී. එය ආපසු හැරවීමේ සැලසුමක් සහිත සිතාමතා වෙනසක් සඳහා තබා ගන්න.

ඩීක්‍රිප්ට් දිශාවෙන් පෙරහන කියවන්න

LAN-to-LAN vpn-filter අතුරුමුහුණතේ නොව උමගේ දෘෂ්ටිකෝණයෙන් ලියැවේ. ඩීක්‍රිප්ට් කිරීමෙන් පසු පැකට්ටුව එසේ පෙනෙන බැවින් දුරස්ථ ජාලය මූලාශ්‍ර ස්ථානයට සහ දේශීය ජාලය ගමනාන්ත ස්ථානයට යයි. පසුව එම පෙරහනම සංකේතනයට පෙර ප්‍රතිවිරුද්ධ දිශාවෙන් නැවත ඇගයේ, ලිපින භූමිකා මාරු කරමින්.

පෝට් කොන්දේසි පිටපත් කළ අතුරුමුහුණත් ACL එකකට වඩා වැඩි සැලකිල්ලක් ලැබිය යුතුය, ඒ හේතුව නිසාම. එක් ගමනාන්ත පෝට් එකකට අවසර දෙන නීතියක් ප්‍රතිවිරුද්ධ දිශාවෙන් අනපේක්ෂිත බලපෑමක් ඇති කළ හැකිය, එහිදී නව සම්බන්ධතාවයක් එම පෝට් එක එහි මූලාශ්‍රය ලෙස භාවිතා කරයි. ලැයිස්තුව ගොඩනැගීමට පෙර කවර පැත්තකට ආරම්භ කළ හැකිද, සැබෑ සේවාව කුමක්ද, සහ වසා තැබිය යුතු ප්‍රතිවිරුද්ධ පාර්ශ්වය කුමක්ද යන්න ලියන්න.

සැබවින්ම සම්බන්ධ කර ඇති පෙරහන කුමක්ද යන්න තහවුරු කරන්න: show running-config group-policy සහ show vpn-sessiondb detail l2l එකට සෙස්ස උරුම වූයේ කුමක්ද යන්න කියයි. කිසිදු ප්‍රතිපත්තියක් යොමු නොවන ACL එකක් සංස්කරණය කිරීමෙන් කිසිවක් වෙනස් නොවේ.

එක් ACL වස්තුවක් කාර්යයන් දෙකකට නැවත භාවිතා නොකරන්න

අතුරුමුහුණත් access-group සහ vpn-filter එකම ආකාරයේ වස්තුවක් ලෙස පෙනෙන අතර වෙනස් ලිපින දිශානතියක් සහිතව වෙනස් ස්ථානවල ඇගයේ. එකම ලැයිස්තුවක් දෙකටම පැවරීමෙන් උමග අලුත්වැඩියා කර භෞතික අතුරුමුහුණත නිහඬව ලිහිල් කරන වෙනසකට ආරාධනා කරයි.

ඒවා වෙන් කර තබන්න, ඒවායේ කාර්යය අනුව නම් දෙන්න, දිශා වෙනස නම්වලින් දිස්වීමට සලස්වන්න.

නව සම්බන්ධතා සමඟ, දිශා දෙකෙන්ම තහවුරු කරන්න

සැලසුම් කළ වෙනසකින් පසු, අවසර ලැබිය යුතු නව සම්බන්ධතාවයක් සහ ප්‍රතික්ෂේප විය යුතු නව සම්බන්ධතාවයක් විවෘත කරන්න, පසුව ලිපින, දිශාව සහ ප්‍රතිපත්ති ගැලපීම ප්‍රතිඵලය සමඟ සටහන් කරන්න. ස්ථාපිත සැසියක් නව-සම්බන්ධතා පෙරහන ගැන කිසිවක් ඔප්පු නොකරයි, එය දැනටමත් පැරණි නීති යටතේ ඇතුළත් කර ඇති බැවිනි.

පරීක්ෂාව ද සැලකිල්ලට ගන්න. සපයන්නාගේ ලේඛන සඳහන් කරන්නේ VPN පෙරහන මූලික සම්බන්ධතාවය පරීක්ෂා කරන බවයි, පරීක්ෂා එන්ජිම විවෘත කරන සෑම ද්විතීයික සම්බන්ධතාවයක්ම නොව, එබැවින් පාලක චැනලයක් සහ එයට අදාළ මාධ්‍ය ප්‍රවාහය වෙනස් ආකාරයකට සැලකිය හැකිය. යෙදුම ප්‍රොටෝකෝලය දන්නේ නම්, තනි පෝට් පරීක්ෂාවක් වෙනුවට සැබෑ ප්‍රවාහය පරීක්ෂා කරන්න.

පුළුල් මඟහැරීමකින් පසු භාවිතයට ගත හැකි වන උමග කියන්නේ සීමාව ඉවත් කළ බවයි, එය ඉටු කළ බව නොවේ. රඳවා ගැනීමට වටිනා ප්‍රතිඵලය වන්නේ ඊළඟ සමාලෝචනයේදී යොමු කළ හැකි නම් කළ බලාත්මක කිරීමේ ලක්ෂ්‍යයකි.