Зашто TACACS+ захтеви саме ASA заобилазе VPN тунел ваше филијале

Тунел филијале је активан, корисници се аутентификују на удаљеном TACACS+ серверу, а сопствена пријава заштитног зида и даље истиче. Разлог није грешка у тунелу: LAN-to-LAN тунел преноси саобраћај који одговара његовим селекторима, а управљачки саобраћај који ASA генерише о себи је одвојен ток са сопственом изворном адресом. Већина тимова то открије током прозора за измене, када је једини администраторски налог управо онај који не успева. Третирајте AAA сесију коју покреће ASA као ток који морате да пројектујете, а не као нуспојаву везе која већ ради.

ASA је клијент и њеном сопственом саобраћају потребна је сопствена путања

Када заштитни зид контактира TACACS+ сервер, он је клијент као и сваки други, осим што му нико намерно није конфигурисао руту. Његови пакети потичу са адресе интерфејса на уређају, генеришу се локално уместо да се прослеђују, и морају да се рутирају, преводе и штите политиком исто као кориснички саобраћај. Тунел од локације до локације који штити корисничку подмрежу не штити аутоматски тај управљачки извор, јер се избор саобраћаја заснива на адресама, а не на намери.

Запишите адресу за коју очекујете да ће је сервер видети. Ако не можете да је изговорите у једном реду, још немате пројекат.

Интерфејс у линији aaa-server није украс

На ASA, запис домаћина aaa-server прихвата везу са интерфејсом у заградама, и Cisco-ов референтни приручник за AAA команде домаћина га описује као интерфејс на коме се налази сервер за аутентификацију. Управо та веза повезује захтев са интерфејсом и са политиком коју тај интерфејс примењује. Избор по оном интерфејсу који гледа у интернет, или остављање онога што је остало од последње миграције, даје изворну адресу за коју удаљени сервер и тунел никада нису направљени.

inside је тачан одговор само када именовани интерфејс држи адресу коју ваш пројекат намерава да користи као извор. На уређају у филијали то је често случај; на уређају са неколико приватних сегмената можда није.

Промена везе значи поновно стварање записа

Исти референтни приручник документује ограничење измене које људе ухвати током прелаза: промена интерфејса на постојећем домаћину захтева уклањање и поновно стварање записа домаћина. Конфигурација која изгледа измењено можда није ступила на снагу, и следећи покушај пријаве и даље ће кренути са старе адресе. Планирајте то као брисање и додавање са копијом оригиналног записа пред собом, а не као исправку на лицу места.

Ако је дефинисано неколико сервера, промените један и тестирајте га пре него што дирате остале, да грешка не закључа све административне путање одједном.

Проверите селекторе, превођење и повратну путању заједно

Три ствари морају да се поклопе да би захтев стигао. Селектори саобраћаја тунела, или заштита тунелског интерфејса ако је користите, морају да укључе сопствени извор ASA и адресу сервера; листа селектора направљена за корисничке подмреже то обично неће учинити. Свако NAT правило на путу мора доследно да преводи тај извор, јер сервер ауторизује идентитет мрежног уређаја који укључује адресу коју види. И повратна путања мора да постоји, што на тунелу заснованом на политикама значи да удаљени крај има одговарајући селектор у другом смеру.

На страни сервера одвојено потврдите идентитет уређаја, заједничку тајну и административну политику. TACACS+ држи аутентификацију, ауторизацију и обрачун као одвојене операције, па је одбијање које стигне после завршене размене одговор политике, а не транспортни квар. Ако га читате као мрежни проблем, тражићете на погрешном месту.

Држите тајну изван снимака, тикета и транскрипата док отклањате проблем, и запамтите да је изворна адреса коју сервер бележи управо она коју ваш пројекат мора да објасни.

Направите измену без закључавања себе

Користите конзолу или независну управљачку путању док мењате удаљену административну аутентификацију, и држите одобрену локалну резерву док нови пут не обави стварну пријаву. Затим проверите уско: један сервер, један уређај, једна успешна аутентификација са изворном адресом виђеном на оба краја.

Забележите ток на његовој сопственој страници: изворни интерфејс и адреса, удаљени сервер, заштићена путања и особа која поседује политику ауторизације. Тада се каснија промена интерфејса или тунела може проценити без погађања који од два тока она погађа.