Sheria ipi ya ASA inaona trafiki baada ya VPN kuifungua

Dhana ya kwanza ya kuachana nayo ni kwamba ACL ya usimbaji fiche ni sera ya ufikiaji. Hiivyo. Kwenye Cisco ASA, orodha hiyo hujibu swali moja jembamba: ni pakiti zipi zinazostahili ulinzi, na jibu hilo halisemi chochote kuhusu kama pakiti iliyofunguliwa inaweza kufikia seva iliyo nyuma ya ukuta wa moto. Ufikiaji huamuliwa baadaye, kwa sera ya kiolesura, kwa kichujio cha sera ya kikundi, au kwa vyote viwili, kulingana na jinsi handaki ilivyojengwa.

ACL ya usimbaji fiche hujibu swali lingine

ACL ya usimbaji fiche ni orodha ya ulinganisho. Huambia handaki kile cha kusimba kati ya pande mbili; pakiti isiyolingana nayo haihifadhiwi ulinzi wowote. Kuipanua hubadilisha wigo wa ulinzi na si kingine chochote.

Ndiyo sababu kuongeza subnet hapo kunaweza kuinua handaki wakati programu halisi inaendelea kushindwa. Handaki iko juu kwa sababu sasa kuna ulinganifu. Programu inaendelea kushindwa kwa sababu hakuna kitu kwenye orodha hiyo kinachoruhusu chochote. Maswali mawili tofauti, orodha mbili tofauti.

Mpangilio wa kupita unaruka nini kwa kweli

sysopt connection permit-vpn huruhusu trafiki iliyolindwa kuruka ukaguzi wa ACL ya kiolesura ambao ungetumika upande wa kuingia. Ni urahisi kwa usambazaji wa VPN, na ni wa ulimwengu wote. Haigusi sera ya kikundi na haigusi kichujio cha idhini kwa kila mtumiaji.

Soma thamani halisi badala ya dhana: show running-config all sysopt huchapisha mpangilio hata pale ambapo haujawahi kusanidiwa kwa uwazi, na hapo ndipo mkanganyiko mwingi huanzia.

Kwa kuwa mpangilio ni wa ulimwengu wote, kuujaribu kama jaribio la haraka kwenye subnet moja inayoshindwa ni kubadilishana vibaya. Kila handaki lingine kwenye ukuta huo wa moto hushiriki matokeo. Ubakie kwa mabadiliko ya makusudi yenye mpango wa kurudi nyuma.

Soma kichujio kwa mwelekeo wa kufungua

LAN-to-LAN vpn-filter huandikwa kwa mtazamo wa handaki, si wa kiolesura. Mtandao wa mbali unakaa mahali pa chanzo na mtandao wa ndani mahali pa lengo, kwa sababu hivyo ndivyo pakiti inavyoonekana baada ya kufunguliwa. Kichujio hicho hicho hupimwa tena kwa mwelekeo kinyume kabla ya kusimba, na majukumu ya anwani yamegeuzwa.

Masharti ya mlango yanastahili uangalifu zaidi kuliko ACL ya kiolesura iliyonakiliwa kwa sababu hiyo hiyo. Sheria inayoruhusu mlango mmoja wa lengo inaweza kuwa na athari isiyokusudiwa kwa mwelekeo kinyume, ambapo muunganisho mpya hutumia mlango huo kama chanzo chake. Kabla ya kujenga orodha, andika upande upi unaweza kuanza, huduma halisi, na upande wa pili ambao lazima ubaki umefungwa.

Thibitisha ni kichujio kipi kilichounganishwa kwa kweli: show running-config group-policy na show vpn-sessiondb detail l2l pamoja hukuambia kile kikao kilichorithi. Kuhariri ACL ambayo hakuna sera inayoirejea hakubadilishi chochote.

Usitumie kitu kimoja cha ACL kwa kazi mbili

access-group ya kiolesura na vpn-filter vinaonekana kama aina moja ya kitu na hupimwa katika sehemu tofauti kwa mwelekeo tofauti wa anwani. Kugawa orodha moja kwa vyote viwili hualika mabadiliko yanayotengeneza handaki na kulegeza kiolesura halisi kwa utulivu.

Viweke tofauti, vipe majina kwa kazi yao, na uache tofauti ya mwelekeo ionekane kwenye majina.

Thibitisha kwa miunganisho mipya, kwa mielekeo yote miwili

Baada ya mabadiliko yaliyopangwa, fungua muunganisho mmoja mpya unaopaswa kuruhusiwa na muunganisho mmoja mpya unaopaswa kukataliwa, kisha andika anwani, mwelekeo na ulinganifu wa sera pamoja na matokeo. Kikao kilichothibitishwa hakithibitishi chochote kuhusu uchujaji wa miunganisho mipya, kwa sababu tayari kiliruhusiwa chini ya sheria za zamani.

Fikiria pia ukaguzi. Nyaraka za mtoa huduma zinasema kwamba kichujio cha VPN hukagua muunganisho wa awali na si kila muunganisho wa pili unaofunguliwa na injini ya ukaguzi, kwa hiyo chaneli ya udhibiti na mtiririko wake wa midia unaohusiana vinaweza kupata matibabu tofauti. Ikiwa programu inafahamu itifaki, jaribu mtiririko halisi badala ya uchunguzi mmoja wa mlango.

Handaki inayofaa kutumika baada ya kupita kwa upana inakuambia kwamba kizuizi kiliondolewa, si kwamba kilifikiwa. Matokeo yanayostahili kuhifadhiwa ni sehemu ya utekelezaji iliyotajwa ambayo unaweza kuielekeza kwenye ukaguzi ujao.