VPN midis site-ve funksionon, por regjistrat e ASA nuk vijnë: kontrolloni adresën e burimit

Hostet e brendshme arrijnë kolektorin e largët dhe rreshtat e tyre syslog shfaqen. Mesazhet e vetë ASA-s për të njëjtat sesione nuk vijnë kurrë. As me kolektorin as me tunelin nuk ka asgjë të gabuar, dhe kjo është pjesa konfuze. Firewali i dërgon regjistrat e tij nga një burim që tuneli nuk u ndërtua kurrë për ta mbrojtur.

Çfarë vjen dhe çfarë nuk vjen

Filloni duke ndarë dy rrjedha që në një panel duken identike. Trafiku i përcjellë kalon përmes ASA-s: një host LAN dërgon te kolektori, ASA e krahason me politikën e tunelit, e enkripton, dhe kolektori sheh adresën e hostit. Trafiku i gjeneruar fillon në vetë ASA-n: pajisja ndërton një paketë syslog, zgjedh një ndërfaqe dalëse dhe një burim dhe vetëm atëherë pyet nëse përputhet ndonjë politikë e tunelit. Rrjedha e parë vërteton se tuneli funksionon, dhe nuk thotë asgjë për të dytën.

Një ngjarje e mbufersuar në pajisje nuk është as provë e dorëzimit në distancë, sepse regjistri mund të ekzistojë lokalisht dhe të mos jetë dërguar kurrë. Kontrolloni numëruesit e pranimit të kolektorit përpara se të fajësoni tunelin, sepse një numërues bosh është një gjetje tjetër nga një që rritet.

Mesazhi i gjeneruar nuk është trafik i përcjellë

Kur ASA gjeneron vetë një paketë, nuk po vepron si përfaqësuese për një host LAN. Burimi vjen nga ndërfaqja dalëse ose nga një rregullim eksplicit i burimit, dhe paketa hyn në të njëjtin kërkim rruge dhe në të njëjtat kontrolle politike si çdo gjë tjetër që dërgon pajisja. Kjo do të thotë se selektori i VPN duhet të përfshijë adresën që ASA përdor në të vërtetë, dhe kjo është shpesh ndërfaqja e saj e jashtme dhe jo një nënrrjet i brendshëm.

Nëse politika mbron 10.20.0.0/24 dhe ASA përdor adresën e saj të jashtme si burim, paketa e regjistrit ose del në tekst të qartë drejt një kolektori që nuk mund ta arrijë, ose hidhet. Të dyja rezultatet duken identike nga ana e kolektorit. I njëjti arsyetim vlen për trafikun e menaxhimit, prandaj management-access është një vendim i veçantë projektimi.

Cilin burim ASA vendos në rrjet

Gjeni burimin në mënyrë empirike dhe jo me supozim. Një regjistrim në ndërfaqen dalëse gjatë një mesazhi testues tregon burimin dhe destinacionin e vërtetë, dhe kushton më pak kohë sesa leximi i tre seksioneve të konfigurimit. Krahasoni atë adresë me selektorin lokal të tunelit.

Disa versione ju lejojnë të lidhni burimin e regjistrimit me një ndërfaqe, dhe referenca e komandave për versionin tuaj është autoriteti për atë nëse ekziston ai opsion dhe çfarë ndryshon. Një komandë source-interface nga një platformë tjetër Cisco nuk është automatikisht e vlefshme në ASA.

Nëse e ndryshoni burimin, bëjeni me qëllim dhe shënoni, sepse ACL-të e kolektorit dhe çdo korrelacion i ndërtuar mbi syslog varen prej tij.

Përputhni selektorin me rrjedhën e regjistrave

Pasi burimi të jetë i njohur, kontrolloni tre gjëra me radhë: ACL-në e kriptimit ose selektorin e bazuar në politikë që vendos cili trafik është interesant, rrugën që vendos ku shkon paketa dhe çdo rregull NAT që mund të rishkruajë burimin përpara enkriptimit. Një paketë që përputhet me rrugën por jo me selektorin nuk tunelohet, dhe një paketë e rishkruar nga NAT mund të mos përputhet me asnjërën.

Ana e kolektorit ka kërkesat e veta: një ACL që lejon burimin e ASA-s, një rrugë kthimi dhe një shërbim që dëgjon në portën që konfiguruat. Transporti ka rëndësi edhe këtu, sepse regjistrimi TCP dhe TLS sillet ndryshe nga UDP në një rrugë pjesërisht të bllokuar. Ndryshoni një element në njëherë, përndryshe regjistrimi tjetër nuk do t'ju thotë cili ndryshim kishte rëndësi.

Verifikoni te kolektori, pastaj shënoni burimin

Konfirmoni që mesazhi vjen, pastaj shënoni adresën e burimit që përdori ASA, selektorin që e transportoi dhe ashpërsinë me të cilën testuat.

Ai regjistrim e kthen ndryshimin e radhës të ACL-së së kolektorit ose redaktimin e selektorit në një kontroll dy minutash në vend të një rizbulimi. Ai gjithashtu dokumenton cila nga dy rrjedhat u validua ndonjëherë, dhe kjo është pjesa që shumica e runbook-eve e lënë jashtë. Nëse mesazhi ende nuk vjen, ulni përkohësisht pragun e ashpërsisë dhe testoni kundër një destinacioni të vetëm.

Pyetjet e shpeshta rreth regjistrimit të ASA-s nga Cisco dokumentojnë një rast me burim të jashtëm që kërkon përkufizimin përkatës të trafikut të mbrojtur, dhe shembulli i tyre me burim të brendshëm përfshin si një host regjistrimi brenda ashtu edhe management-access brenda. Trajtoni kombinimin e dokumentuar dhe kontekstin e softuerit së bashku, në vend që të supozoni se një rresht i kopjuar përshtatet me çdo konfigurim.

Një tunel që mbart trafik LAN nuk është një tunel që mbart zërin e vetë firewalit.