Ali podsít VPN podeduje varnostno raven vmesnika ASA?

Dešifrirana podsít VPN nikoli ne podeduje varnostne ravni vmesnika. Ločeno preverite sysopt connection permit-vpn, filter skupine in dostop za upravljanje.

Nekdo vpraša, ali ima podsít VPN podružnice na ASA «varnostno raven 0 ali 100», in vprašanje že vsebuje napako. Varnostna raven je lastnost lokalnega vmesnika in se v konfiguraciji vmesnika dodeli od 0 do 100. Oddaljena podsít, ki prispe skozi tunel, je ne pridobi, ne glede na to, kako je zapisan crypto map. Zato vprašanje nima številskega odgovora.

Praktično naslednje vprašanje je boljše: katera politika spusti podružnico do strežnika in katera jo drži stran od samega požarnega zidu. To sta dva odgovora, in spodnji postopek ju loči.

Varnostne ravni pripadajo vmesnikom

Zaženite show running-config interface in videli boste security-level pod vsakim fizičnim vmesnikom ali vmesnikom VLAN, ne pod skupino tunela ali crypto map. Privzeto dovoljenje od višje do nižje se ocenjuje med temi vmesniki, zato število spremeni vedenje pregledovanja in implicitne ACL na poti, ki ji pripada.

Pri dešifriranem toku VPN je vhod še vedno zunanji vmesnik, kjer se tunel konča, izhod pa notranji vmesnik proti strežniku. Zapišite oba, preden se česar koli dotaknete. Ta en korak odpravi večino zmede, ker abstraktno vprašanje zaupanja spremeni v par vmesnikov.

Obhod ACL ima poimenovano mejo

sysopt connection permit-vpn je nastavitev, ki se je ljudje na pol spomnijo, ko rečejo, da promet VPN ignorira ACL. Res preskoči ACL vmesnika za promet, ki se kvalificira kot promet VPN, in vodnik po parametrih 9.x jo omejuje po vmesniku in smeri, namesto da bi razglasil globalno izjemo.

Preverite, kaj je konfigurirano, preden sklepate iz spomina:

  • show running-config all sysopt za prikaz dejanske vrednosti, ne le vrstic, ki niso privzete.
  • show running-config access-group za prikaz, katera ACL je uporabljena na katerem vmesniku in v kateri smeri.
  • show vpn-sessiondb detail l2l za potrditev, katero skupino tunela in filter seja dejansko uporablja.

Izklop te nastavitve za zaostritev dostopa VPN je sprememba z velikim dosegom. Ponovno podredi vsak kvalificirani tok VPN zunanji ACL, kar običajno pokvari delujoče tunele na načine, ki niso povezani s podružnico, o kateri so vas vprašali.

Preberite filter, priložen seji

Prava kontrola na tunel je filter VPN: ACL, na katero se sklicuje skupinska politika ali uporabniško ime, uporabljena po dešifriranju in pred šifriranjem. Filter na ravni uporabnika prepiše vrednost na ravni skupine, zato imata lahko dve osebi v isti skupini tunela različen dejanski dostop.

Potrdite prednost, namesto da bi jo predpostavili. show running-config group-policy <name> prikazuje vrednost skupine, show running-config username <name> pa prikazuje, ali obstaja vrednost za uporabnika. Če obstajata obe, zmaga uporabniška vrednost. Nato primerjajte vnose te ACL s tokom, ki vas zanima, v smeri, v kateri filter ocenjuje.

Filter, ki dovoli aplikacijski strežnik, ne pove ničesar o upravljanju. To so ločena pravila na ločeni poti.

Preverite eno dovoljenje in eno zavrnitev

Packet-tracer je najhitrejši način, da vidite odločitev, ne da bi čakali, da jo uporabnik sporoči. Dajte mu tok z dešifrirane strani in pustite, da poimenuje stopnje ACL, NAT in pregledovanja, skozi katere gre.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Preberite vrstico rezultata: poimenuje ACL, ki je paket dovolila ali zavrgla.
  3. Ponovite z upravljavskim ciljem na notranjem vmesniku in potrdite zavrnitev.
  4. Ponovite še enkrat po vsaki spremembi, da bosta zabeležena tako stanje pred kot po njej.

Nato preverite z dejanskim prometom: ena uspešna aplikacijska zahteva s podružnice in en neuspešen poskus SSH na ASA. Packet-tracer modelira pot; živi tok dokazuje, da se je model ujemal.

Razveljavite spremembo, ki je omogočila delovanje

Če je bila popravek izklop obhoda ACL ali razširitev filtra, obdržite prejšnjo konfiguracijo. Posnetek show run prizadetih objektov, shranjen pred spremembo, zadostuje za njihovo obnovitev; konfiguracija ASA je usmerjena na vrstice, zato razveljavitev pomeni ponovni vnos starih vrstic, ne obnovitev datoteke.

Zabeležite par vmesnikov, dejanski filter, ime ACL iz packet-tracerja in natančne ukaze, ki ste jih spremenili. Ta zapis spremeni naslednji pregled v petminutno preverjanje namesto še ene razprave o ravneh zaupanja.

Sorodni članki