VPN између локација ради, али ASA дневници не стижу: проверите изворну адресу

Унутрашњи домаћини достижу удаљени сакупљач и њихови syslog редови се појављују. Саме ASA поруке о тим истим сесијама никада не стижу. Ни са сакупљачем ни са тунелом ништа није погрешно, и то је збуњујући део. Заштитни зид шаље своје дневнике са извора који тунел никада није био направљен да штити.

Шта стиже, а шта не

Почните раздвајањем два тока која на контролној табли изгледају идентично. Прослеђени саобраћај пролази кроз ASA: LAN домаћин шаље сакупљачу, ASA га пореди са политиком тунела, шифрује га и сакупљач види адресу домаћина. Генерисани саобраћај почиње на самом ASA: уређај саставља syslog пакет, бира излазни интерфејс и извор и тек онда пита да ли се поклапа неко правило тунела. Први ток доказује да тунел ради, а о другом не говори ништа.

Баферисан догађај на уређају такође није доказ удаљене испоруке, јер запис може постојати локално и никада није послат. Проверите бројаче пријема на сакупљачу пре него што окривите тунел, јер празан бројач је другачији налаз од бројача који расте.

Генерисана порука није прослеђени саобраћај

Када ASA сама генерише пакет, она не посредује за LAN домаћина. Извор долази са излазног интерфејса или из експлицитног подешавања извора, а пакет улази у исто тражење маршруте и исте провере политике као и све друго што уређај шаље. То значи да VPN селектор мора да укључи адресу коју ASA стварно користи, а то је често њен спољни интерфејс, а не унутрашња подмрежа.

Ако правила штите 10.20.0.0/24, а ASA као извор користи своју спољну адресу, пакет записа или излази у чистом тексту према сакупљачу до којег не може да стигне, или бива одбачен. Оба исхода са стране сакупљача изгледају исто. Иста логика важи и за управљачки саобраћај, зато је management-access засебна пројектна одлука.

Који извор ASA ставља на мрежу

Пронађите извор емпиријски, а не претпоставком. Снимање на излазном интерфејсу током тест поруке показује стварни извор и одредиште и троши мање времена од читања три дела конфигурације. Упоредите ту адресу са локалним селектором тунела.

Нека издања дозвољавају да се извор записа веже за интерфејс, а референца команди за вашу верзију је ауторитет за то да ли та опција постоји и шта мења. Команда source-interface са друге Cisco платформе није аутоматски важећа на ASA.

Ако ипак промените извор, учините то намерно и забележите, јер ACL-ови сакупљача и свака корелација заснована на syslog зависе од њега.

Ускладите селектор са током записа

Када је извор познат, проверите три ствари по реду: крипто ACL или селектор заснован на правилима који одлучује који је саобраћај занимљив, руту која одлучује куда пакет иде и свако NAT правило које може да препише извор пре шифровања. Пакет који одговара рути али не селектору не пролази кроз тунел, а пакет који NAT препише можда не одговара ни једном.

Страна сакупљача има своје захтеве: ACL који дозвољава извор ASA-е, повратну руту и услугу која слуша на порту који сте конфигурисали. Пренос је и овде важан, јер се TCP и TLS записивање на делимично блокираном путу понаша другачије од UDP-а. Мењајте један елемент по један, иначе следеће снимање неће рећи која је промена била важна.

Проверите на сакупљачу, затим забележите извор

Потврдите да порука стиже, затим запишите изворну адресу коју је ASA користио, селектор који ју је пренео и ниво озбиљности са којим сте тестирали.

Тај запис претвара следећу промену ACL-а сакупљача или уређивање селектора у двоминутну проверу уместо поновног откривања. Такође документује који је од два тока икада валидиран, а управо тај део већина приручника изоставља. Ако порука још увек не стиже, привремено снизите праг озбиљности и тестирајте према једном одредишту.

Cisco ЧПП о ASA записивању документује случај са спољним извором који захтева одговарајућу дефиницију заштићеног саобраћаја, а његов пример са унутрашњим извором укључује и домаћина за записе изнутра и management-access изнутра. Третирајте документовану комбинацију и контекст софтвера заједно, уместо да претпоставите да један копирани ред одговара свакој конфигурацији.

Тунел који носи LAN саобраћај није тунел који носи сопствени глас заштитног зида.