VPN med lokacijami deluje, a dnevniki ASA ne prihajajo: preverite izvorni naslov

Notranji gostitelji dosežejo oddaljeni zbiralnik in njihove vrstice syslog se pojavijo. Lastna sporočila ASA o teh istih sejah nikoli ne prispejo. Z zbiralnikom ali tunelom ni nič narobe, in prav to zmede. Požarni zid pošilja svoje dnevnike iz vira, za katerega zaščito tunel ni bil nikoli zgrajen.

Kaj prispe in kaj ne

Začnite z ločevanjem dveh tokov, ki sta na nadzorni plošči videti enaka. Posredovani promet gre skozi ASA: gostitelj LAN pošlje zbiralniku, ASA ga primerja s politiko tunela, ga šifrira in zbiralnik vidi naslov gostitelja. Ustvarjeni promet se začne na samem ASA: naprava sestavi paket syslog, izbere izhodni vmesnik in vir ter se šele nato vpraša, ali se ujema katera politika tunela. Prvi tok dokazuje, da tunel deluje, in o drugem ne pove ničesar.

Shranjeni dogodek v napravi prav tako ni dokaz oddaljene dostave, ker lahko dnevnik obstaja lokalno in ni bil nikoli poslan. Preden obtožite tunel, preverite sprejemne števce zbiralnika, ker je prazen števec drugačna ugotovitev kot rastoči.

Ustvarjeno sporočilo ni posredovani promet

Ko ASA sama ustvari paket, ne deluje kot posrednik za gostitelja LAN. Vir prihaja z izhodnega vmesnika ali iz izrecne nastavitve vira, paket pa vstopi v enako iskanje poti in enake preverbe politik kot vse drugo, kar naprava pošlje. To pomeni, da mora selektor VPN vsebovati naslov, ki ga ASA dejansko uporablja, in to je pogosto njen zunanji vmesnik, ne notranja podomrežja.

Če politika ščiti 10.20.0.0/24 in ASA kot vir uporablja svoj zunanji naslov, paket dnevnika bodisi odide v čistem besedilu proti zbiralniku, ki ga ne doseže, bodisi je zavržen. Oba izida sta s strani zbiralnika videti enako. Ista logika velja za upravljalni promet, zato je management-access ločena oblikovna odločitev.

Kateri vir ASA postavi v omrežje

Vir poiščite empirično in ne s predpostavko. Zajem na izhodnem vmesniku med preskusnim sporočilom pokaže dejanski vir in cilj, in vzame manj časa kot branje treh razdelkov konfiguracije. Primerjajte ta naslov z lokalnim selektorjem tunela.

Nekatere različice omogočajo, da vir dnevnikov pripnete na vmesnik, in referenca ukazov za vašo različico je avtoriteta glede tega, ali ta možnost obstaja in kaj spremeni. Ukaz source-interface z druge platforme Cisco na ASA ni samodejno veljaven.

Če vir spremenite, to storite namerno in si zapišite, ker so ACL zbiralnika in vsaka korelacija, zgrajena na syslogu, odvisni od njega.

Uskladite selektor s tokom dnevnikov

Ko je vir znan, po vrsti preverite tri stvari: kripto ACL ali selektor na podlagi politike, ki odloči, kateri promet je zanimiv, pot, ki odloči, kam gre paket, in vsako pravilo NAT, ki lahko prepiše vir pred šifriranjem. Paket, ki ustreza poti, ne pa selektorju, se ne tunelira, paket, ki ga prepiše NAT, pa morda ne ustreza nobenemu.

Stran zbiralnika ima svoje zahteve: ACL, ki dovoli vir ASA, povratno pot in storitev, ki posluša na vratih, ki ste jih nastavili. Tudi prenos je tu pomemben, ker se beleženje TCP in TLS na delno blokirani poti obnaša drugače kot UDP. Spreminjajte en element naenkrat, sicer naslednji zajem ne bo povedal, katera sprememba je bila pomembna.

Preverite pri zbiralniku in nato zapišite vir

Potrdite, da sporočilo prispe, nato zapišite izvorni naslov, ki ga je uporabil ASA, selektor, ki ga je prenesel, in resnost, s katero ste testirali.

Ta zapis spremeni naslednjo spremembo ACL zbiralnika ali urejanje selektorja v dvominutno preverjanje namesto ponovnega odkrivanja. Dokumentira tudi, kateri od dveh tokov je bil kdaj preverjen, in prav ta del večina runbookov izpusti. Če sporočilo še vedno ne prispe, začasno znižajte prag resnosti in testirajte proti enemu cilju.

Cisco pogosta vprašanja o beleženju ASA dokumentirajo primer z zunanjim virom, ki potrebuje ustrezno definicijo zaščitenega prometa, njihov primer z notranjim virom pa vključuje gostitelja dnevnikov znotraj in management-access znotraj. Obravnavajte dokumentirano kombinacijo in kontekst programske opreme skupaj, namesto da predpostavljate, da ena kopirana vrstica ustreza vsaki konfiguraciji.

Tunel, ki prenaša promet LAN, ni tunel, ki prenaša lastni glas požarnega zidu.