Zdedí podsieť VPN úroveň zabezpečenia rozhrania ASA?

Dešifrovaná podsieť VPN nikdy nezdedí úroveň zabezpečenia rozhrania. Overte oddelene sysopt connection permit-vpn, filter skupiny a prístup na správu.

Niekto sa pýta, či má podsieť VPN pobočky na ASA „úroveň zabezpečenia 0 alebo 100“, a otázka už obsahuje chybu. Úroveň zabezpečenia je vlastnosť lokálneho rozhrania a v konfigurácii rozhrania sa priraďuje od 0 do 100. Vzdialená podsieť, ktorá prichádza tunelom, žiadnu nezíska, nech je crypto map napísaná akokoľvek. Preto otázka nemá číselnú odpoveď.

Praktická nasledujúca otázka je lepšia: ktorá politika pustí pobočku k serveru a ktorá ju drží ďalej od samotného firewallu. To sú dve odpovede a postup nižšie ich oddeľuje.

Úrovne zabezpečenia patria rozhraniam

Spustite show running-config interface a uvidíte security-level pod každým fyzickým rozhraním alebo rozhraním VLAN, nie pod skupinou tunela alebo crypto map. Predvolené povolenie z vyššej na nižšiu sa vyhodnocuje medzi týmito rozhraniami, preto číslo mení správanie inšpekcie a implicitnej ACL na ceste, ku ktorej patrí.

Pri dešifrovanom toku VPN je vstupom stále vonkajšie rozhranie, kde tunel končí, a výstupom je vnútorné rozhranie k serveru. Zapíšte obe, skôr než sa čohokoľvek dotknete. Tento jediný krok odstráni väčšinu zmätku, pretože mení abstraktnú otázku dôvery na dvojicu rozhraní.

Obchádzanie ACL má pomenovanú hranicu

sysopt connection permit-vpn je nastavenie, ktoré si ľudia napoly pamätajú, keď hovoria, že prevádzka VPN ignoruje ACL. Naozaj preskočí ACL rozhrania pre prevádzku, ktorá sa kvalifikuje ako prevádzka VPN, a príručka parametrov 9.x ju obmedzuje podľa rozhrania a smeru, namiesto toho, aby vyhlásila globálnu výnimku.

Overte, čo je nakonfigurované, skôr než budete uvažovať z pamäti:

  • show running-config all sysopt na zobrazenie skutočnej hodnoty, nielen riadkov odlišných od predvolených.
  • show running-config access-group na zobrazenie, ktorá ACL je použitá na ktoré rozhranie a smer.
  • show vpn-sessiondb detail l2l na potvrdenie, ktorú skupinu tunela a filter relácia skutočne používa.

Vypnutie tohto nastavenia na sprísnenie prístupu VPN je zmena s veľkým dosahom. Znovu podriaďuje každý kvalifikovaný tok VPN vonkajšej ACL, čo zvyčajne pokazí fungujúce tunely spôsobmi, ktoré nesúvisia s pobočkou, na ktorú ste sa pýtali.

Prečítajte filter pripojený k relácii

Skutočná kontrola na tunel je filter VPN: ACL, na ktorú odkazuje skupinová politika alebo používateľské meno, aplikovaná po dešifrovaní a pred šifrovaním. Filter na úrovni používateľa prepisuje hodnotu na úrovni skupiny, takže dvaja ľudia v tej istej skupine tunela môžu mať rozdielny efektívny prístup.

Potvrďte prioritu namiesto toho, aby ste ju predpokladali. show running-config group-policy <name> zobrazuje hodnotu skupiny a show running-config username <name> zobrazuje, či existuje hodnota pre používateľa. Ak existujú obe, vyhráva hodnota používateľa. Potom porovnajte položky tejto ACL s tokom, ktorý vás zaujíma, v smere, v ktorom filter vyhodnocuje.

Filter, ktorý povoľuje aplikačný server, nehovorí nič o správe. To sú oddelené pravidlá na oddelenej ceste.

Overte jedno povolenie a jedno zamietnutie

Packet-tracer je najrýchlejší spôsob, ako vidieť rozhodnutie bez čakania, kým ho nahlási používateľ. Dajte mu tok z dešifrovanej strany a nechajte ho pomenovať fázy ACL, NAT a inšpekcie, ktorými prechádza.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Prečítajte riadok výsledku: pomenúva ACL, ktorá paket povolila alebo zahodila.
  3. Zopakujte s administratívnym cieľom na vnútornom rozhraní a potvrďte zamietnutie.
  4. Zopakujte ešte raz po každej zmene, aby boli zaznamenané oba stavy, pred aj po.

Potom overte skutočnou prevádzkou: jedna úspešná požiadavka aplikácie z pobočky a jeden neúspešný pokus o SSH na ASA. Packet-tracer modeluje cestu; živý tok dokazuje, že model sedel.

Vráťte zmenu, ktorá to sprevádzkovala

Ak opravou bolo vypnutie obchádzania ACL alebo rozšírenie filtra, ponechajte predchádzajúcu konfiguráciu. Snímka show run dotknutých objektov, uložená pred zmenou, stačí na ich obnovenie; konfigurácia ASA je riadkovo orientovaná, takže vrátenie znamená znovu zadať staré riadky, nie obnoviť súbor.

Zaznamenajte dvojicu rozhraní, efektívny filter, názov ACL z packet-tracera a presné príkazy, ktoré ste zmenili. Tento záznam mení nasledujúcu kontrolu na päťminútovú záležitosť namiesto ďalšej debaty o úrovniach dôvery.

Súvisiace články