Pse kërkesat TACACS+ të vetë ASA-së anashkalojnë tunelin VPN të degës tuaj

Tuneli i degës është aktiv, përdoruesit autentifikohen në serverin TACACS+ të largët, dhe hyrja e vetë murit të zjarrit vazhdon të skadojë. Shkaku nuk është një defekt në tunel: një tunel LAN-to-LAN mbart trafikun që përputhet me përzgjedhësit e tij, dhe trafiku i menaxhimit që ASA gjeneron për vetveten është një rrjedhë e veçantë me adresën e vet të burimit. Shumica e ekipeve e zbulojnë këtë gjatë një dritareje ndryshimesh, kur llogaria e vetme e administratorit është ajo që dështon. Trajtojeni sesionin AAA që nis ASA si një rrjedhë që duhet ta projektoni, jo si një efekt anësor të një lidhjeje që funksionon tashmë.

ASA është klienti, dhe trafiku i tij ka nevojë për rrugën e vet

Kur muri i zjarrit kontakton një server TACACS+, ai është klient si çdo tjetër, përveçse askush nuk i ka konfiguruar me qëllim një rrugë. Paketat e tij nisen nga një adresë ndërfaqeje në pajisje, gjenerohen lokalisht në vend që të përçohen, dhe duhet të rutohen, përkthehen dhe mbrohen me politikë njësoj si trafiku i përdoruesve. Një tunel nga vendi në vend që mbron një nënrrjet përdoruesish nuk e mbron automatikisht atë burim menaxhimi, sepse përzgjedhja e trafikut bazohet në adresa dhe jo në qëllim.

Shkruani adresën që prisni të shohë serveri. Nëse nuk mund ta thoni në një rresht, nuk keni ende një projekt.

Ndërfaqja në rreshtin aaa-server nuk është zbukurim

Në ASA, zëri i hostit aaa-server merr një lidhje ndërfaqeje në kllapa, dhe referenca e komandave të hostit AAA e Cisco e përshkruan atë si ndërfaqen ku ndodhet serveri i autentifikimit. Pikërisht kjo lidhje e lidh kërkesën me një ndërfaqe dhe me politikën që zbaton ajo ndërfaqe. Zgjedhja e saj sipas çdo ndërfaqeje që shikon nga interneti, ose lënia e asaj që mbeti nga migrimi i fundit, prodhon një adresë burimi për të cilën serveri i largët dhe tuneli nuk u ndërtuan kurrë.

inside është përgjigja e saktë vetëm kur ndërfaqja e përmendur mban adresën që projekti juaj synon të përdorë si burim. Në një pajisje dege shpesh është kështu; në një pajisje me disa segmente private mund të mos jetë.

Ndryshimi i lidhjes do të thotë rikrijim i zërit

E njëjta referencë komandash dokumenton një kufizim redaktimi që kap njerëzit gjatë kalimeve: ndryshimi i ndërfaqes në një host ekzistues kërkon heqjen dhe rikrijimin e zërit të hostit. Një konfigurim që duket i redaktuar mund të mos ketë hyrë në fuqi, dhe përpjekja e radhës për hyrje do të niset përsëri nga adresa e vjetër. Planifikojeni atë si fshirje dhe shtim me një kopje të zërit origjinal përpara jush, jo si një rregullim në vend.

Nëse janë përcaktuar disa serverë, ndryshoni një dhe provojeni përpara se të prekni të tjerët, që një gabim të mos bllokojë të gjitha rrugët administrative njëherësh.

Kontrolloni përzgjedhësit, përkthimin dhe rrugën e kthimit së bashku

Tre gjëra duhet të përputhen që kërkesa të arrijë. Përzgjedhësit e trafikut të tunelit, ose mbrojtja e ndërfaqes së tunelit nëse përdorni një të tillë, duhet të përfshijnë burimin e vetë ASA-së dhe adresën e serverit; një listë përzgjedhësish e ndërtuar për nënrrjeta përdoruesish zakonisht nuk e bën këtë. Çdo rregull NAT në rrugë duhet ta përkthejë atë burim në mënyrë konsistente, sepse serveri autorizon një identitet pajisjeje rrjeti që përfshin adresën që sheh. Dhe rruga e kthimit duhet të ekzistojë, çka në një tunel të bazuar në politikë do të thotë që skaji i largët ka një përzgjedhës përputhës në drejtimin e kundërt.

Në anën e serverit, konfirmoni veçmas identitetin e pajisjes, sekretin e përbashkët dhe politikën administrative. TACACS+ i mban autentifikimin, autorizimin dhe kontabilitetin si operacione të ndryshme, prandaj një refuzim që vjen pas një shkëmbimi të përfunduar është përgjigje politike, jo dështim transporti. Leximi i tij si problem rrjeti ju dërgon të kërkoni në vendin e gabuar.

Mbajeni sekretin jashtë kapjeve, tiketave dhe transkripteve gjatë korrigjimit, dhe mbani mend se adresa e burimit që regjistron serveri është ajo që projekti juaj duhet të shpjegojë.

Bëjeni ndryshimin pa u mbyllur jashtë

Përdorni një konsolë ose një rrugë të pavarur menaxhimi ndërsa ndryshoni autentifikimin administrativ në distancë, dhe mbani një alternativë lokale të miratuar derisa rruga e re të ketë mbartur një hyrje reale. Më pas vlerësoni në mënyrë të ngushtë: një server, një pajisje, një autentifikim i suksesshëm me adresën e burimit të vëzhguar në të dy skajet.

Regjistroni rrjedhën në faqen e saj: ndërfaqja dhe adresa e origjinës, serveri i largët, rruga e mbrojtur dhe personi që zotëron politikën e autorizimit. Atëherë një ndryshim i mëvonshëm ndërfaqeje ose tuneli mund të vlerësohet pa hamendësuar se cila nga dy rrjedhat preket.