Ma dhaxlaa shabakadda hoose ee VPN heerka amniga ee interface-ka ASA?

Shabakadda hoose ee VPN ee la furey marnaba ma dhaxasho heerka amniga interface-ka. Si gooni ah u hubi sysopt connection permit-vpn, filtarka kooxda iyo gelitaanka maamulka.

Qof ayaa weydiinaya in shabakadda hoose ee VPN ee laanta ay leedahay «heer ammaan 0 ama 100» ASA, su'aashuna horeba khalad bay ku jirtaa. Heerka amniga waa sifo interface maxalli ah, waxaana lagu qoondeeyaa interface-ka 0 ilaa 100. Shabakad hoose oo fog oo tunnel ku timaadda midna ma hesho, si kasta oo crypto map loo qoray. Sidaas darteed su'aashu jawaab tiro ah ma laha.

Su'aasha waxqabad ee xigta ayaa ka wanaagsan: siyaasaddee ayaa laanta u ogolaata server-ka, tanee ka fogeysaa firewall-ka laftiisa. Kuwaasi waa laba jawaab, nidaamka hoose ayaa kala sooca.

Heerarka amniga waxay ka tirsan yihiin interface-yada

Soco show running-config interface waxaadna arki doontaa security-level interface kasta oo jidh ama interface VLAN hoostiisa, ma aha kooxda tunnel ama crypto map hoostiisa. Ogolaanshaha caadiga ah ee sare ilaa hoose waxaa lagu qiimeeyaa interface-yadaas dhexdooda, sidaas darteed lambarku wuxuu beddelaa habdhaqanka baaritaanka iyo ACL-ga dadban ee wadada uu ka tirsan yahay.

Qulqulka VPN ee la furey, gelitaanku wali waa interface-ka outside halka tunnel-ku ku dhammaado, bixintuna waa interface-ka inside ee u jeedda server-ka. Qor labadaba ka hor intaadan wax taaban. Tallaabadaas keliya ayaa meesha ka saarta jaahwareerka badan, sababtoo ah waxay su'aal kalsooni aan la taaban karin u beddelaysaa lammaane interface ah.

Ka gudubka ACL wuxuu leeyahay xad magac leh

sysopt connection permit-vpn waa dejinta dadku badh ka xusuustaan marka ay yiraahdaan taraafikada VPN waxay iska dhaafaa ACL-yada. Runtii wuxuu ka boodaa ACL-ka interface-ka taraafikada u qalma taraafikada VPN, iyo hagaha halbeegga 9.x wuxuu ku xaddidaa interface iyo jihada halkii uu ku dhawaaqi lahaa ka-reebitaan caalami ah.

Hubi waxa la habeeyay ka hor intaadan xasuus ka doodin:

  • show running-config all sysopt si aad u aragto qiimaha dhabta ah, ma aha oo kaliya sadarrada aan caadiga ahayn.
  • show running-config access-group si aad u aragto ACL kee ayaa lagu dabaqay interface kee iyo jiha.
  • show vpn-sessiondb detail l2l si aad u xaqiijiso kooxda tunnel iyo filtarka ay fadhiga dhab ahaan isticmaalayso.

Daminta dejintaas si loo adkeeyo gelitaanka VPN waa isbeddel saameyn ballaaran leh. Waxay mar kale hoosaysiisaa qulqul kasta oo VPN ah oo u qalma ACL-ka dibadda, taas oo inta badan jebisa tunnelyo shaqeynaya siyaabo aan la xiriirin laanta lagaa weydiiyay.

Akhri filtarka ku lifaaqan fadhiga

Kontoroolka dhabta ah ee tunnel kastaa waa filtarka VPN: ACL ay tixraacaan siyaasadda kooxda ama magaca isticmaalaha, oo la dabaqo ka dib furista iyo ka hor qarinta. Filtar heer isticmaale ah wuxuu ka sarre maraa qiimaha heer koox, sidaas darteed laba qof oo isku koox tunnel ah waxay yeelan karaan gelitaan dhab ah oo kala duwan.

Xaqiiji mudnaanta halkii aad ka qadan lahayd. show running-config group-policy <name> wuxuu muujinayaa qiimaha kooxda, show running-config username <name> wuxuuna muujinayaa haddii qiime isticmaale u gaar ah uu jiro. Haddii labaduba jiraan, qiimaha isticmaalaha ayaa guuleysta. Kadib isbarbar dhig gelitaanka ACL-kaas iyo qulqulka aad danaynayso, jihada filtarku qiimeeyo.

Filtar oggolaada server-ka codsiga waxba kama sheegto maamulka. Kuwaasi waa sharciyo gooni ah waddo gooni ah.

Xaqiiji hal ogolaansho iyo hal diidmo

Packet-tracer waa habka ugu dhaqsiyaha badan ee lagu arko go'aanka iyada oo aan la sugayn isticmaale inuu soo sheego. Sii qulqulka dhinaca la furey oo u oggolow inuu magacaabo tallaabooyinka ACL, NAT iyo baaritaanka uu maro.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Akhri sadarka natiijada: wuxuu magacaabaa ACL-ka oggolaaday ama tuuray baakadda.
  3. Ku celi goobta maamulka ee interface-ka inside oo xaqiiji diidmo.
  4. Mar kale ku celi ka dib isbeddel kasta, si loo diiwaan geliyo xaaladda kahor iyo tan kadib labadaba.

Kadib ku xaqiiji taraafik dhab ah: hal codsi codsi oo guulaystay oo ka yimid laanta iyo hal isku day SSH oo fashilmay oo ASA u jeedda. Packet-tracer wuxuu moodeelaa wadada; qulqul nool ayaa caddeeya in moodelku uu waafaqay.

Dib u celi isbeddelkii ka dhigay inuu shaqeeyo

Haddii hagaajintu ahayd daminta ka gudubka ACL ama ballaarinta filtar, hayso habayntii hore. Qabashada show run ee walxaha saameeyay, oo la keydiyay isbeddelka kahor, waa ku filan tahay in lagu soo celiyo; habaynta ASA waxay ku saleysan tahay sadarro, sidaas darteed dib u celinta waxay ka dhigan tahay dib u gelinta sadarrada hore, ma aha soo celinta fayl.

Diiwaan geli lammaanaha interface-ka, filtarka wax ku oolka ah, magaca ACL ee ka yimid packet-tracer iyo amarrada saxda ah ee aad beddeshay. Diiwaankaas wuxuu dib u eegista xigta ka dhigayaa baaritaan shan daqiiqo ah halkii ay ahaan lahayd dood kale oo ku saabsan heerarka kalsoonida.

Maqaallo la xiriira