Да ли VPN подмрежа наслеђује безбедносни ниво интерфејса ASA?

Дешифрована VPN подмрежа никада не наслеђује безбедносни ниво интерфејса. Проверите одвојено sysopt connection permit-vpn, филтер групе и приступ за управљање.

Неко пита да ли VPN подмрежа огранка на ASA има „безбедносни ниво 0 или 100“, а питање већ садржи грешку. Безбедносни ниво је својство локалног интерфејса и додељује се од 0 до 100 у конфигурацији интерфејса. Удаљена подмрежа која долази кроз тунел не добија га, како год да је написан crypto map. Зато питање нема бројчани одговор.

Практично следеће питање је боље: која политика пушта огранак до сервера, а која га држи даље од самог заштитног зида. То су два одговора, а поступак испод их раздваја.

Безбедносни нивои припадају интерфејсима

Покрените show running-config interface и видећете security-level испод сваког физичког интерфејса или VLAN интерфејса, не испод групе тунела или crypto map. Подразумевана дозвола од вишег ка нижем процењује се између тих интерфејса, зато број мења понашање инспекције и имплицитне ACL на путу коме припада.

За дешифрован VPN ток, улаз је и даље спољни интерфејс где се тунел завршава, а излаз је унутрашњи интерфејс ка серверу. Запишите оба пре него што било шта дотакнете. Тај један корак уклања већину забуне, јер апстрактно питање поверења претвара у пар интерфејса.

Заобилажење ACL има именовану границу

sysopt connection permit-vpn је подешавање којег се људи пола сећају када кажу да VPN саобраћај игнорише ACL-ове. Оно заиста прескаче ACL интерфејса за саобраћај који се квалификује као VPN саобраћај, а водич за параметре 9.x га ограничава по интерфејсу и смеру уместо да прогласи глобални изузетак.

Проверите шта је конфигурисано пре него што закључујете по сећању:

  • show running-config all sysopt да видите стварну вредност, не само линије које нису подразумеване.
  • show running-config access-group да видите који је ACL примењен на који интерфејс и смер.
  • show vpn-sessiondb detail l2l да потврдите коју групу тунела и филтер сесија заиста користи.

Искључивање тог подешавања ради пооштравања VPN приступа је промена са широким дометом. Оно поново подређује сваки квалификовани VPN ток спољном ACL-у, што обично квари тунеле који раде на начине неповезане са огранком о коме сте питани.

Прочитајте филтер прикачен на сесију

Права контрола по тунелу је VPN филтер: ACL на коју упућује групна политика или корисничко име, примењује се после дешифровања и пре шифровања. Филтер на нивоу корисника замењује вредност на нивоу групе, тако да двоје људи у истој групи тунела могу имати различит ефективни приступ.

Потврдите приоритет уместо да га претпостављате. show running-config group-policy <name> приказује вредност групе, а show running-config username <name> приказује да ли постоји вредност по кориснику. Ако постоје обе, побеђује корисничка вредност. Затим упоредите уносе тог ACL-а са током који вас занима, у смеру у коме филтер процењује.

Филтер који дозвољава апликацијски сервер не говори ништа о управљању. То су одвојена правила на одвојеном путу.

Проверите једну дозволу и једно одбијање

Packet-tracer је најбржи начин да видите одлуку без чекања да је корисник пријави. Дајте му ток са дешифроване стране и пустите га да именује фазе ACL-а, NAT-а и инспекције кроз које пролази.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прочитајте ред резултата: именује ACL која је дозволила или одбацила пакет.
  3. Поновите са административним одредиштем на унутрашњем интерфејсу и потврдите одбијање.
  4. Поновите још једном после сваке промене, да буду забележена оба стања, пре и после.

Затим проверите стварним саобраћајем: један успешан захтев апликације из огранка и један неуспешан SSH покушај ка ASA. Packet-tracer моделује пут; живи ток доказује да се модел поклопио.

Вратите промену која је то поправила

Ако је поправка била искључивање заобилажења ACL-а или проширивање филтера, задржите претходну конфигурацију. Снимак show run захваћених објеката, сачуван пре промене, довољан је да их вратите; конфигурација ASA је оријентисана на линије, па враћање значи поновни унос старих линија, а не враћање датотеке.

Забележите пар интерфејса, ефективни филтер, назив ACL-а из packet-tracera и тачне команде које сте променили. Тај запис претвара следећу ревизију у петоминутну проверу уместо још једне расправе о нивоима поверења.

Повезани чланци