Ktoré pravidlo ASA vidí prevádzku po tom, čo ju VPN dešifruje

Prvý predpoklad, ktorého sa treba zbaviť, je, že krypto ACL je prístupová politika. Nie je. Na Cisco ASA tento zoznam odpovedá na jednu úzku otázku: ktoré pakety si zaslúžia ochranu, a táto odpoveď nehovorí nič o tom, či dešifrovaný paket smie dosiahnuť server za firewallom. O prístupe sa rozhoduje neskôr, politikou rozhrania, filtrom skupinovej politiky alebo oboma, podľa toho, ako je tunel postavený.

Krypto ACL odpovedá na inú otázku

Krypto ACL je zoznam zhôd. Tunelu hovorí, čo má šifrovať medzi dvoma stranami; paket, ktorý s ním nesúhlasí, jednoducho nie je chránený. Jeho rozšírenie mení rozsah ochrany a nič iné.

Preto pridanie podsiete tam môže zdvihnúť tunel, zatiaľ čo samotná aplikácia stále zlyháva. Tunel je hore, pretože teraz existuje zhoda. Aplikácia stále zlyháva, pretože nič v tom zozname nič nepovoľuje. Dve rôzne otázky, dva rôzne zoznamy.

Čo vlastne nastavenie obchádzania preskočí

sysopt connection permit-vpn umožňuje chránenej prevádzke preskočiť kontrolu ACL rozhrania, ktorá by inak platila na vstupnej strane. Je to uľahčenie pre nasadenia VPN a je globálne. Nedotýka sa skupinovej politiky a nedotýka sa autorizačného filtra pre jednotlivého používateľa.

Čítajte skutočnú hodnotu, nie predpoklad: show running-config all sysopt vypíše nastavenie aj vtedy, keď nikdy nebolo výslovne nakonfigurované, a práve tam začína veľa zmätku.

Keďže nastavenie je globálne, testovať ho ako rýchly pokus na jednej nefunkčnej podsieti je zlá výmena. Každý ďalší tunel na tom firewalle zdieľa výsledok. Nechajte si ho na zámernú zmenu s plánom návratu.

Čítajte filter v smere dešifrovania

LAN-to-LAN vpn-filter sa píše z pohľadu tunela, nie rozhrania. Vzdialená sieť ide na pozíciu zdroja a miestna sieť na pozíciu cieľa, pretože tak paket po dešifrovaní vyzerá. Ten istý filter sa potom pred šifrovaním znova vyhodnotí v opačnom smere, s obrátenými rolami adries.

Podmienky pre porty si zaslúžia väčšiu starostlivosť ako skopírovaný ACL rozhrania práve z tohto dôvodu. Pravidlo povoľujúce jeden cieľový port môže mať v opačnom smere nechcený účinok, kde nové spojenie používa ten port ako zdrojový. Skôr než zostavíte zoznam, zapíšte, ktorá strana smie iniciovať, aká je skutočná služba a ktorá protistrana musí zostať zatvorená.

Overte, ktorý filter je skutočne pripojený: show running-config group-policy a show vpn-sessiondb detail l2l spolu povedia, čo relácia zdedila. Úprava ACL, na ktorý neodkazuje žiadna politika, nič nemení.

Nepoužívajte jeden objekt ACL na dve práce

Rozhranie access-group a vpn-filter vyzerajú ako rovnaký typ objektu a vyhodnocujú sa v rôznych bodoch s rôznou orientáciou adries. Priradenie jedného zoznamu obom pozýva na zmenu, ktorá opraví tunel a potichu uvolní fyzické rozhranie.

Držte ich oddelene, pomenujte ich podľa ich práce a nechajte rozdiel v smere viditeľný v názvoch.

Overujte novými spojeniami, v oboch smeroch

Po plánovanej zmene otvorte jedno nové spojenie, ktoré má byť povolené, a jedno nové spojenie, ktoré má byť odmietnuté, a potom si k výsledku poznačte adresy, smer a zhodu s politikou. Nadviazaná relácia nič nedokazuje o filtrovaní nových spojení, pretože už bola prepustená podľa starých pravidiel.

Počítajte aj s inšpekciou. Dokumentácia výrobcu uvádza, že filter VPN kontroluje počiatočné spojenie, a nie každé sekundárne spojenie, ktoré otvorí inšpekčný engine, takže riadiaci kanál a s ním súvisiaci mediálny tok môžu dostať odlišné zaobchádzanie. Ak aplikácia rozumie protokolu, testujte skutočný tok, nie jednu sondu na porte.

Tunel, ktorý je po širokom obídení použiteľný, hovorí, že obmedzenie bolo odstránené, nie že bolo splnené. Výsledok, ktorý stojí za to si nechať, je pomenovaný bod presadenia, na ktorý môžete ukázať pri ďalšej revízii.