Prečo TACACS+ požiadavky ASA obchádzajú VPN tunel pobočky

Tunel pobočky je v prevádzke, používatelia sa autentifikujú voči vzdialenému serveru TACACS+, a vlastné prihlásenie firewallu napriek tomu vyprší. Príčinou nie je chyba v tuneli: tunel LAN-to-LAN prenáša prevádzku, ktorá zodpovedá jeho selektorom, a riadiaca prevádzka, ktorú ASA generuje o sebe, je samostatný tok s vlastnou zdrojovou adresou. Väčšina tímov to zistí počas zmenového okna, keď je jediný administrátorský účet práve ten, ktorý zlyháva. Berte AAA reláciu, ktorú ASA iniciuje, ako tok, ktorý musíte navrhnúť, nie ako vedľajší efekt konektivity, ktorá už funguje.

ASA je klient a jej vlastná prevádzka potrebuje vlastnú cestu

Keď firewall kontaktuje server TACACS+, je klientom ako každý iný, len mu nikto zámerne nenakonfiguroval trasu. Jeho pakety vznikajú na adrese rozhrania zariadenia, generujú sa lokálne, nie preposielajú, a musia sa smerovať, prekladať a chrániť politikou rovnako ako používateľská prevádzka. Tunel medzi lokalitami, ktorý chráni používateľskú podsietu, automaticky nechráni tento riadiaci zdroj, pretože výber prevádzky je založený na adresách, nie na úmysle.

Zapíšte adresu, ktorú podľa vás server uvidí. Ak ju neviete vyjadriť jednou vetou, ešte nemáte návrh.

Rozhranie v riadku aaa-server nie je dekorácia

Na ASA preberá položka hostiteľa aaa-server priradenie rozhrania v zátvorke a príručka príkazov hostiteľa AAA od Cisco ju opisuje ako rozhranie, na ktorom sídli autentifikačný server. Práve toto priradenie viaže požiadavku k rozhraniu a k politike, ktorú toto rozhranie uplatňuje. Voľba podľa toho, ktoré rozhranie smeruje do internetu, alebo ponechanie toho, čo zostalo z poslednej migrácie, vytvorí zdrojovú adresu, pre ktorú vzdialený server ani tunel nikdy neboli stavané.

inside je správna odpoveď len vtedy, keď uvedené rozhranie drží adresu, ktorú váš návrh zamýšľa použiť ako zdroj. Na zariadení v pobočke to často platí; na zariadení s niekoľkými privátnymi segmentmi možno nie.

Zmena priradenia znamená opätovné vytvorenie položky

Tá istá príručka dokumentuje obmedzenie úprav, ktoré ľudí nachytá pri prechodoch: zmena rozhrania u existujúceho hostiteľa vyžaduje odstránenie a opätovné vytvorenie položky hostiteľa. Konfigurácia, ktorá vyzerá upravene, nemusela nadobudnúť platnosť a ďalší pokus o prihlásenie aj tak vyjde zo starej adresy. Naplánujte to ako vymazanie a pridanie s kópiou pôvodnej položky pred očami, nie ako úpravu na mieste.

Ak je definovaných niekoľko serverov, zmeňte jeden a otestujte ho, skôr než sa dotknete ostatných, aby chyba nezablokovala všetky administratívne cesty naraz.

Skontrolujte selektory, preklad a spätnú cestu spoločne

Aby požiadavka dorazila, musia sa zhodnúť tri veci. Selektory prevádzky tunela, alebo ochrana tunelového rozhrania, ak ju používate, musia obsahovať vlastný zdroj ASA a adresu servera; zoznam selektorov postavený pre používateľské podsiete to zvyčajne neurobí. Každé pravidlo NAT na ceste musí tento zdroj prekladať konzistentne, pretože server autorizuje identitu sieťového zariadenia, ktorá zahŕňa adresu, ktorú vidí. A spätná cesta musí existovať, čo pri tuneli založenom na politikách znamená, že vzdialený koniec má zodpovedajúci selektor v opačnom smere.

Na strane servera potvrďte oddelene identitu zariadenia, zdieľané tajomstvo a administratívnu politiku. TACACS+ drží autentifikáciu, autorizáciu a účtovníctvo ako oddelené operácie, takže odmietnutie, ktoré príde po dokončenej výmene, je odpoveď politiky, nie zlyhanie transportu. Čítať ho ako sieťový problém vás pošle hľadať na nesprávne miesto.

Počas ladenia držte tajomstvo mimo zachytených paketov, tiketov a prepisov a pamätajte, že zdrojová adresa, ktorú server loguje, je tá, ktorú musí váš návrh vysvetliť.

Vykonajte zmenu bez toho, aby ste sa uzamkli

Použite konzolu alebo nezávislú cestu správy, keď meníte vzdialenú administratívnu autentifikáciu, a držte schválený lokálny záložný postup, kým nová cesta neprenesie skutočné prihlásenie. Potom validujte úzko: jeden server, jedno zariadenie, jedno úspešné overenie so zdrojovou adresou pozorovanou na oboch koncoch.

Zaznamenajte tok na jeho vlastnú stránku: východzie rozhranie a adresa, vzdialený server, chránená cesta a osoba, ktorá vlastní autorizačnú politiku. Neskoršiu zmenu rozhrania alebo tunela potom možno posúdiť bez hádania, ktorého z dvoch tokov sa týka.