VPN medzi lokalitami funguje, ale záznamy ASA neprichádzajú: skontrolujte zdrojovú adresu

Vnútorní hostitelia dosiahnu vzdialený zberač a ich riadky syslog sa objavia. Vlastné správy ASA o tých istých reláciách nikdy neprídu. So zberačom ani s tunelom nie je nič zlé, a práve to mätie. Firewall posiela svoje záznamy zo zdroja, ktorý tunel nikdy nebol stavaný chrániť.

Čo prichádza a čo nie

Začnite oddelením dvoch tokov, ktoré na paneli vyzerajú rovnako. Preposielaná prevádzka prechádza cez ASA: hostiteľ LAN posiela zberaču, ASA to porovná s politikou tunela, zašifruje a zberač vidí adresu hostiteľa. Generovaná prevádzka začína na samotnej ASA: zariadenie zostaví paket syslog, zvolí výstupné rozhranie a zdroj a až potom sa pýta, či zodpovedá nejaká politika tunela. Prvý tok dokazuje, že tunel funguje, a o druhom nehovorí nič.

Uložená udalosť v zariadení tiež nie je dôkazom vzdialeného doručenia, pretože záznam môže existovať lokálne a nikdy nemusel byť odoslaný. Skontrolujte prijímacie počítadlá zberača, skôr než obviníte tunel, pretože prázdne počítadlo je iné zistenie ako počítadlo, ktoré rastie.

Generovaná správa nie je preposielaná prevádzka

Keď ASA sama vytvára paket, nefunguje ako proxy hostiteľa LAN. Zdroj pochádza z výstupného rozhrania alebo z explicitného nastavenia zdroja a paket vstupuje do rovnakého hľadania trasy a rovnakých kontrol politiky ako čokoľvek iné, čo zariadenie odošle. To znamená, že selektor VPN musí obsahovať adresu, ktorú ASA skutočne používa, a to je často jeho vonkajšie rozhranie, nie vnútorná podsiet.

Ak politika chráni 10.20.0.0/24 a ASA používa ako zdroj svoju vonkajšiu adresu, paket záznamu buď odchádza v čistom texte k zberaču, na ktorý nedosiahne, alebo je zahodený. Oba výsledky vyzerajú zo strany zberača rovnako. Rovnaká úvaha platí aj pre riadiacu prevádzku, a preto je management-access samostatné dizajnové rozhodnutie.

Aký zdroj ASA stavia do siete

Zistite zdroj empiricky, nie domnienkou. Zachytenie na výstupnom rozhraní počas testovacej správy ukáže skutočný zdroj a cieľ a stojí menej času než čítanie troch častí konfigurácie. Porovnajte túto adresu s lokálnym selektorom tunela.

Niektoré vydania umožňujú pripnúť zdroj záznamov k rozhraniu a referenčná príručka príkazov pre vašu verziu je autoritou v tom, či táto možnosť existuje a čo mení. Príkaz source-interface z inej platformy Cisco nie je na ASA automaticky platný.

Ak zdroj predsa len zmeníte, urobte to vedome a poznamenajte si to, pretože na ňom závisia ACL zberača aj akákoľvek korelácia postavená na syslogu.

Zlaďte selektor s tokom záznamov

Keď je zdroj známy, skontrolujte tri veci v poradí: krypto ACL alebo selektor založený na politike, ktorý rozhoduje, ktorá prevádzka je zaujímavá, trasu, ktorá rozhoduje, kam paket ide, a akékoľvek pravidlo NAT, ktoré môže prepísať zdroj pred šifrovaním. Paket, ktorý zodpovedá trase, ale nie selektoru, sa netuneluje, a paket prepísaný NAT nemusí zodpovedať ani jednému.

Strana zberača má vlastné požiadavky: ACL povoľujúci zdroj ASA, spätnú trasu a službu načúvajúcu na porte, ktorý ste nastavili. Aj prenos tu zohráva úlohu, pretože protokolovanie cez TCP a TLS sa na čiastočne blokovanej ceste správa inak ako UDP. Meňte jeden prvok po druhom, inak vám ďalšie zachytenie nepovie, ktorá zmena bola dôležitá.

Overte u zberača a potom zdroj zapíšte

Potvrďte, že správa prichádza, a potom zapíšte zdrojovú adresu, ktorú ASA použila, selektor, ktorý ju preniesol, a závažnosť, s ktorou ste testovali.

Tento záznam premení nasledujúcu zmenu ACL zberača alebo úpravu selektora na dvojminútovú kontrolu namiesto opätovného objavovania. Tiež dokumentuje, ktorý z dvoch tokov bol niekedy overený, a práve túto časť väčšina runbookov vynecháva. Ak správa stále neprichádza, dočasne znížte prah závažnosti a testujte proti jedinému cieľu.

Cisco FAQ k protokolovaniu ASA dokumentuje prípad s vonkajším zdrojom, ktorý potrebuje zodpovedajúcu definíciu chránenej prevádzky, a jeho príklad s vnútorným zdrojom zahŕňa hostiteľa záznamov vnútri aj management-access vnútri. Berte zdokumentovanú kombináciu a kontext softvéru spolu, namiesto predpokladu, že jeden skopírovaný riadok sedí na každú konfiguráciu.

Tunel, ktorý prenáša prevádzku LAN, nie je tunel, ktorý prenáša vlastný hlas firewallu.