A e trashëgon një nënrrjet VPN nivelin e sigurisë të ndërfaqes ASA?

Dikush pyet nëse nënrrjeti VPN i degës ka «nivel sigurie 0 ose 100» në ASA, dhe pyetja tashmë përmban gabimin. Niveli i sigurisë është veti e një ndërfaqeje lokale dhe caktohet nga 0 në 100 në konfigurimin e ndërfaqes. Një nënrrjet i largët që vjen përmes një tuneli nuk fiton asnjë, pavarësisht si është shkruar crypto map. Prandaj pyetja nuk ka përgjigje numerike.

Pyetja praktike që vijon është më e mirë: cila politikë e lejon degën drejt serverit dhe cila e mban larg vetë murit të zjarrit. Këto janë dy përgjigje, dhe procedura më poshtë i ndan ato.

Nivelet e sigurisë u përkasin ndërfaqeve

Ekzekutoni show running-config interface dhe do të shihni security-level nën çdo ndërfaqe fizike ose ndërfaqe VLAN, jo nën grupin e tunelit apo crypto map. Leja e parazgjedhur nga më e larta në më të ulët vlerësohet midis këtyre ndërfaqeve, prandaj numri ndryshon sjelljen e inspektimit dhe të ACL-së të nënkuptuar në rrugën së cilës i përket.

Për një rrjedhë VPN të dekriptuar, hyrja është ende ndërfaqja outside ku përfundon tuneli, dhe dalja është ndërfaqja inside drejt serverit. Shkruajini të dyja përpara se të prekni ndonjë gjë. Ky hap i vetëm heq pjesën më të madhe të konfuzionit, sepse e kthen një pyetje abstrakte besimi në një çift ndërfaqesh.

Anashkalimi i ACL-së ka një kufi me emër

sysopt connection permit-vpn është cilësimi që njerëzit e mbajnë mend gjysmë kur thonë se trafiku VPN i shpërfill ACL-të. Ai vërtet e kapërcen ACL-në e ndërfaqes për trafikun që kualifikohet si trafik VPN, dhe udhëzuesi i parametrave 9.x e kufizon sipas ndërfaqes dhe drejtimit në vend që të shpallë një përjashtim global.

Kontrolloni çfarë është konfiguruar përpara se të arsyetoni nga kujtesa:

• show running-config all sysopt për të parë vlerën efektive, jo vetëm rreshtat që nuk janë parazgjedhur.
• show running-config access-group për të parë cila ACL zbatohet në cilën ndërfaqe dhe drejtim.
• show vpn-sessiondb detail l2l për të konfirmuar cilin grup tuneli dhe filtër përdor vërtet sesioni.

Fikja e këtij cilësimi për të shtrënguar aksesin VPN është një ndryshim me ndikim të gjerë. Ai e nënshtron përsëri çdo rrjedhë VPN të kualifikuar ACL-së së jashtme, gjë që zakonisht prish tunelet që punojnë në mënyra të palidhura me degën për të cilën ju pyetën.

Lexoni filtrin e bashkangjitur sesionit

Kontrolli i vërtetë për çdo tunel është filtri VPN: një ACL të cilën e referon politika e grupit ose emri i përdoruesit, e zbatuar pas dekriptimit dhe para kriptimit. Një filtër në nivel përdoruesi anashkalon vlerën në nivel grupi, kështu që dy persona në të njëjtin grup tuneli mund të kenë akses efektiv të ndryshëm.

Konfirmoni përparësinë në vend që ta supozoni. show running-config group-policy <name> tregon vlerën e grupit, dhe show running-config username <name> tregon nëse ekziston një vlerë për përdorues. Nëse ekzistojnë të dyja, fiton vlera e përdoruesit. Më pas krahasoni hyrjet e asaj ACL me rrjedhën që ju intereson, në drejtimin që vlerëson filtri.

Një filtër që lejon serverin e aplikacionit nuk thotë asgjë për administrimin. Këto janë rregulla të veçanta në një rrugë të veçantë.

Verifikoni një leje dhe një refuzim

Packet-tracer është mënyra më e shpejtë për të parë vendimin pa pritur që një përdorues ta raportojë. Jepini rrjedhën nga ana e dekriptuar dhe lëreni të emërtojë fazat ACL, NAT dhe inspektimi nëpër të cilat kalon.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Lexoni rreshtin e rezultatit: emërton ACL-në që e lejoi ose e hodhi paketën.
3. Përsëriteni me destinacionin administrativ në ndërfaqen inside dhe konfirmoni një refuzim.
4. Përsëriteni edhe një herë pas çdo ndryshimi, që të regjistrohet si gjendja para ashtu edhe ajo pas.

Më pas verifikoni me trafik të vërtetë: një kërkesë aplikacioni të suksesshme nga dega dhe një përpjekje SSH të dështuar drejt ASA. Packet-tracer modelon rrugën; një rrjedhë e gjallë provon se modeli përputhej.

Ktheni mbrapsht ndryshimin që e bëri të funksionojë

Nëse rregullimi ishte çaktivizimi i anashkalimit të ACL ose zgjerimi i një filtri, mbani konfigurimin e mëparshëm. Një kapje show run e objekteve të prekura, e ruajtur përpara ndryshimit, mjafton për t'i rikthyer; konfigurimi i ASA është i orientuar nga rreshtat, kështu që kthimi mbrapsht do të thotë të rivendosësh rreshtat e vjetër, jo të rikthesh një skedar.

Regjistroni çiftin e ndërfaqeve, filtrin efektiv, emrin e ACL-së nga packet-tracer dhe komandat e sakta që ndryshuat. Ai regjistrim e kthen rishikimin e radhës në një kontroll pesëminutësh në vend të një debati tjetër për nivelet e besimit.