Зашто удаљени корисник на ASA стиже до подмреже, али не до апликације
Руте доказују да тунел ради, а не да корисник сме да отвори апликацију. Прочитајте филтер који је сесија добила, затим тестирајте дозвољену и одбијену везу.
Ваш корисник се повезује, добија адресу, пингује сервер у подмрежи апликације и ипак не може да отвори услугу на њему. Та комбинација је на ASA нормална, јер успешан тунел и употребљива дозвола се одређују различитим поставкама. Листа подељеног тунела је изабрала која одредишта улазе у тунел; VPN филтер и сопствена правила приступа одредишта одлучују шта дешифровани захтев сме да достигне. Прођите кроз три одлуке по реду, уместо да проширујете листу рута док се нешто не промени.
Три одлуке које је лако помешати
Пријем одговара да ли корисник уопште сме да успостави тунел: акредитиви, сертификат и било који други фактор. Избор руте одговара која одредишта клијент шаље у тај тунел. Ауторизација одговара да ли дешифровани захтев сме да достигне услугу. Само трећа ствара грешку коју корисник пријављује.
Брз начин да их разликујете је да питате шта би нека промена покварила. Уклањање руте из подељене листе зауставља саобраћај ка тој подмрежи без давања било чега; додавање ACE у VPN филтер даје одредиште без промене онога што клијент тунелира.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Прочитајте филтер који је сесија заиста добила
Почните од живе сесије, а не од конфигурације за коју мислите да важи. show vpn-sessiondb detail anyconnect исписује додељену групну политику и назив филтера прикаченог тој сесији. Ако је поље празно, ниједан филтер ништа не спроводи и блокирање долази са другог места.
Затим прочитајте политику која поседује вредност, укључујући подразумеване вредности, јер филтер може бити наслеђен, а не записан тамо где гледате:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Упоредите назив филтера на сесији са ACL-ом који сте управо уредили. ACL сличног назива који корисник никада није добио не може да промени политику ресурса те сесије, и то је најчешћи разлог зашто промена која изгледа исправно нема ефекта.
Приоритет објашњава остало. За поставку филтера DAP запис има предност над атрибутима корисничког имена, а атрибути корисничког имена предност над групном политиком. Када сесија прикаже филтер који нисте очекивали, потражите DAP политику која одговара том кориснику пре него што дирнете групу.
Подељена листа и филтер су одвојена поља
На ASA 9.x групна политика држи split-tunnel-network-list и vpn-filter као различите поставке, и водич за групне политике 9.22 их документује одвојено управо због тога. Мрежна листа је путоказ за рутирање клијенту; филтер је листа контроле приступа која се примењује на дешифровани саобраћај.
Та разлика је важна када кориснику треба једна HTTPS услуга у подмрежи. Ставите подмрежу у подељену листу да пакети уђу у тунел, затим у филтеру дозволите само ту услугу. Проширивање листе рута ништа не ауторизује, а њено смањивање није механизам спровођења.
Проверите да ли је ACL интерфејса уопште на путу
Дешифровани саобраћај удаљеног приступа не пролази увек кроз ACL спољног интерфејса како људи претпостављају. Тамо где је sysopt connection permit-vpn омогућен, ASA примењује своје документовано заобилажење VPN-а за тај саобраћај, док применљиви VPN филтери и даље важе после тога. Проверите поставку помоћу show run all sysopt уместо да закључујете из дијаграма топологије.
У сваком случају, сопствени заштитни зид одредишног хоста и ауторизација апликације остају на путу. Правило на ASA које дозвољава TCP 443 не чини да апликација прихвати корисника.
Прихватите промену и са одбијеном везом
Само дозвољен тест доказује веома мало, јер радни тунел ствара исти први пакет без обзира да ли филтер постоји. Отворите предвиђену услугу са клијента, затим покушајте одредиште које треба да остане затворено и потврдите да не успева из правог разлога.
Запишите четири чињенице када затварате тикет: прихваћени идентитет, политику и филтер које је сесија заиста добила, одредишта у подељеној листи и ресурс до ког је кориснику било дозвољено да стигне. Те четири објашњавају где се саобраћај контролише без претварања листе рута у заштитни зид.
Ако услуга и даље одбија након што је филтер дозволи, пређите на хост: адреса за слушање, заштитни зид хоста и сопствено мапирање корисника апликације. Тунел је у том тренутку одрадио свој посао, а даље промене на ASA само додају ризик.