Cili rregull i ASA e sheh trafikun pasi VPN e dekripton atë

Supozimi i parë që duhet hequr është se ACL-ja kriptografike është një politikë aksesi. Nuk është. Në një Cisco ASA, ajo listë përgjigjet një pyetjeje të ngushtë: cilat paketa meritojnë mbrojtje, dhe kjo përgjigje nuk thotë asgjë nëse paketa e dekriptuar mund të arrijë serverin pas murit të zjarrit. Aksesi vendoset më vonë, nga një politikë e ndërfaqes, nga një filtër i politikës së grupit ose nga të dyja, varësisht nga mënyra se si është ndërtuar tuneli.

ACL-ja kriptografike përgjigjet një pyetjeje tjetër

Një ACL kriptografike është një listë përputhjeje. I thotë tunelit çfarë të kriptojë midis dy palëve; një paketë që nuk përputhet me të thjesht nuk mbrohet. Zgjerimi i saj ndryshon shtrirjen e mbrojtjes dhe asgjë tjetër.

Prandaj shtimi i një nënrrjeti atje mund të ngrejë një tunel ndërsa vetë aplikacioni vazhdon të dështojë. Tuneli është lart sepse tani ekziston një përputhje. Aplikacioni vazhdon të dështojë sepse asgjë në atë listë nuk lejon asgjë. Dy pyetje të ndryshme, dy lista të ndryshme.

Çfarë kalon vërtet cilësimi i anashkalimit

sysopt connection permit-vpn lejon trafikun e mbrojtur të kalojë kontrollin e ACL-së së ndërfaqes që përndryshe do të zbatohej në anën hyrëse. Është një lehtësi për vendosjet e VPN-së, dhe është globale. Nuk prek politikën e grupit dhe nuk prek një filtër autorizimi për përdorues.

Lexoni vlerën reale në vend të supozimit: show running-config all sysopt e shtyp cilësimin edhe kur ai nuk është konfiguruar kurrë në mënyrë të qartë, dhe pikërisht aty fillon shumë konfuzion.

Meqenëse cilësimi është global, ta testosh si eksperiment të shpejtë në një nënrrjet që dështon është një shkëmbim i keq. Çdo tunel tjetër në atë mur zjarri ndan rezultatin. Ruajeni për një ndryshim të qëllimshëm me një plan kthimi.

Lexoni filtrin në drejtimin e dekriptimit

Një vpn-filter LAN-to-LAN shkruhet nga këndvështrimi i tunelit, jo i ndërfaqes. Rrjeti i largët zë pozicionin e burimit dhe rrjeti lokal pozicionin e destinacionit, sepse kështu duket paketa pas dekriptimit. I njëjti filtër më pas vlerësohet përsëri në drejtimin e kundërt përpara kriptimit, me rolet e adresave të përmbysura.

Kushtet e portës meritojnë më shumë kujdes sesa një ACL ndërfaqeje e kopjuar pikërisht për këtë arsye. Një rregull që lejon një portë destinacioni mund të ketë një efekt të padëshiruar në drejtimin e kundërt, ku një lidhje e re e përdor atë portë si burim. Përpara se të ndërtoni listën, shkruani cila anë mund të fillojë, shërbimi real dhe pala kundërshtare që duhet të mbetet e mbyllur.

Konfirmoni cili filtër është vërtet i bashkëngjitur: show running-config group-policy dhe show vpn-sessiondb detail l2l së bashku tregojnë çfarë trashëgoi sesioni. Redaktimi i një ACL-je që nuk referohet nga asnjë politikë nuk ndryshon asgjë.

Mos ripërdorni një objekt ACL për dy punë

Një access-group ndërfaqeje dhe një vpn-filter duken si i njëjti lloj objekti dhe vlerësohen në pika të ndryshme me orientim të ndryshëm të adresave. Caktimi i një liste për të dyja fton një ndryshim që rregullon tunelin dhe liron në heshtje ndërfaqen fizike.

Mbani të ndara, emërtojini sipas punës së tyre dhe lëreni ndryshimin e drejtimit të jetë i dukshëm në emra.

Verifikoni me lidhje të reja, në të dy drejtimet

Pas një ndryshimi të planifikuar, hapni një lidhje të re që duhet të lejohet dhe një lidhje të re që duhet të refuzohet, pastaj shënoni adresat, drejtimin dhe përputhjen e politikës bashkë me rezultatin. Një sesion i vendosur nuk provon asgjë për filtrimin e lidhjeve të reja, sepse tashmë është pranuar sipas rregullave të vjetra.

Merrni parasysh edhe inspektimin. Dokumentacioni i prodhuesit vëren se një filtër VPN kontrollon lidhjen fillestare dhe jo çdo lidhje dytësore që hap një motor inspektimi, kështu që një kanal kontrolli dhe rrjedha mediatike përkatëse mund të marrin trajtim të ndryshëm. Nëse aplikacioni e njeh protokollin, provoni rrjedhën reale në vend të një sondë të vetme porte.

Një tunel që bëhet i përdorshëm pas një anashkalimi të gjerë ju thotë se kufizimi u hoq, jo se u përmbush. Rezultati që ia vlen të mbahet është një pikë e emërtuar zbatimi ku mund të tregoni në rishikimin e ardhshëm.