Katero pravilo ASA vidi promet, potem ko ga VPN dešifrira

Prva predpostavka, ki se ji je treba odpovedati, je, da je kripto ACL politika dostopa. Ni. Na Cisco ASA ta seznam odgovarja na eno ozko vprašanje: kateri paketi si zaslužijo zaščito, in ta odgovor ne pove ničesar o tem, ali lahko dešifriran paket doseže strežnik za požarnim zidom. O dostopu se odloča pozneje, s politiko vmesnika, s filtrom skupinske politike ali z obema, odvisno od tega, kako je bil tunel zgrajen.

Kripto ACL odgovarja na drugo vprašanje

Kripto ACL je seznam ujemanj. Tunelu pove, kaj naj šifrira med dvema stranema; paket, ki se z njim ne ujema, preprosto ni zaščiten. Njegova razširitev spremeni obseg zaščite in nič drugega.

Zato lahko dodajanje podomrežja tam dvigne tunel, medtem ko sama aplikacija še vedno ne deluje. Tunel je gor, ker zdaj obstaja ujemanje. Aplikacija še vedno ne deluje, ker nič na tem seznamu ničesar ne dovoli. Dve različni vprašanji, dva različna seznama.

Kaj nastavitev obhoda v resnici preskoči

sysopt connection permit-vpn omogoča zaščitenemu prometu, da preskoči preverjanje ACL vmesnika, ki bi sicer veljalo na vhodni strani. To je udobnost za uvajanja VPN in je globalno. Ne dotika se skupinske politike in ne dotika se avtorizacijskega filtra za posameznega uporabnika.

Berite dejansko vrednost, ne predpostavke: show running-config all sysopt izpiše nastavitev tudi takrat, ko nikoli ni bila izrecno konfigurirana, in prav tam se začne veliko zmede.

Ker je nastavitev globalna, je preizkušanje kot hiter poskus na enem nedelujočem podomrežju slaba menjava. Vsak drug tunel na tem požarnem zidu si deli rezultat. Prihranite jo za namerno spremembo z načrtom razveljavitve.

Berite filter v smeri dešifriranja

ACL vpn-filter LAN-to-LAN se piše z vidika tunela, ne vmesnika. Oddaljeno omrežje pride na mesto vira, lokalno omrežje pa na mesto cilja, ker je paket po dešifriranju videti tako. Isti filter se nato pred šifriranjem znova ovrednoti v nasprotni smeri, z zamenjanimi vlogami naslovov.

Pogoji za vrata si zaslužijo več skrbnosti kot kopiran ACL vmesnika prav zaradi tega. Pravilo, ki dovoljuje ena ciljna vrata, ima lahko v nasprotni smeri nenameren učinek, kjer nova povezava uporablja ta vrata kot vir. Preden zgradite seznam, zapišite, katera stran lahko začne, kakšna je dejanska storitev in katera nasprotna stran mora ostati zaprta.

Potrdite, kateri filter je v resnici pripet: show running-config group-policy in show vpn-sessiondb detail l2l skupaj povesta, kaj je seja podedovala. Urejanje ACL, na katerega se ne sklicuje nobena politika, ne spremeni ničesar.

Ne uporabljajte enega objekta ACL za dve nalogi

Vmesniški access-group in vpn-filter sta videti kot ista vrsta objekta in se ocenjujeta na različnih mestih z različno usmeritvijo naslovov. Dodelitev enega seznama obema vabi k spremembi, ki popravi tunel in tiho popusti fizični vmesnik.

Držite ju ločeno, poimenujte ju po njunem delu in pustite, da je razlika v smeri vidna v imenih.

Preverjajte z novimi povezavami, v obeh smereh

Po načrtovani spremembi odprite eno novo povezavo, ki bi morala biti dovoljena, in eno novo povezavo, ki bi morala biti zavrnjena, nato pa k rezultatu zapišite naslove, smer in ujemanje s politiko. Vzpostavljena seja ne dokaže ničesar o filtriranju novih povezav, ker je bila že spuščena po starih pravilih.

Upoštevajte tudi pregledovanje. Dokumentacija proizvajalca navaja, da filter VPN preveri začetno povezavo in ne vsake sekundarne povezave, ki jo odpre pregledovalni mehanizem, zato lahko krmilni kanal in z njim povezan medijski tok dobita drugačno obravnavo. Če aplikacija pozna protokol, preizkusite dejanski tok, ne samo ene poizvedbe vrat.

Tunel, ki postane uporaben po širokem obhodu, pove, da je bila omejitev odstranjena, ne pa da je bila izpolnjena. Rezultat, ki si ga velja zapomniti, je poimenovana točka uveljavljanja, na katero se lahko sklicujete pri naslednjem pregledu.