Kwa nini maombi ya TACACS+ ya ASA yanapita pembeni ya handaki la VPN la tawi lako

Handaki la tawi liko hai, watumiaji wanathibitisha utambulisho kwenye seva ya TACACS+ ya mbali, lakini kuingia kwa firewall yenyewe bado kunaisha kwa muda kupita. Sababu si hitilafu katika handaki: handaki la LAN-to-LAN hubeba trafiki inayolingana na vichaguzi vyake, na trafiki ya usimamizi ambayo ASA inatengeneza kuhusu yenyewe ni mkondo tofauti wenye anwani yake ya chanzo. Timu nyingi hugundua hili wakati wa dirisha la mabadiliko, wakati akaunti pekee ya msimamizi ndiyo inayoshindwa. Chukulia kipindi cha AAA kinachoanzishwa na ASA kama mkondo unaopaswa kuubuni, si kama athari ya pembeni ya muunganisho ambao tayari unafanya kazi.

ASA yenyewe ni mteja, na trafiki yake inahitaji njia yake

Firewall inapowasiliana na seva ya TACACS+, firewall ni mteja kama mwingine yeyote, isipokuwa kwamba hakuna aliyeweka njia kwa ajili yake kwa makusudi. Pakiti zake zinatoka kwenye anwani ya kiolesura kwenye kifaa, zinatengenezwa ndani badala ya kusambazwa, na lazima zipitishwe njia, zifasiriwe na zilindwe kwa sera kama trafiki ya watumiaji. Handaki la tovuti-hadi-tovuti linalolinda subneti ya watumiaji halilindi chanzo hicho cha usimamizi kiotomatiki, kwa sababu uteuzi wa trafiki unategemea anwani na si nia.

Andika anwani unayotarajia seva itaona. Ikiwa huwezi kuisema kwa mstari mmoja, bado huna muundo.

Kiolesura katika mstari wa aaa-server si pambo

Kwenye ASA, ingizo la mwenyeji aaa-server huchukua uhusiano wa kiolesura ndani ya mabano, na marejeleo ya amri za mwenyeji wa AAA ya Cisco huielezea kama kiolesura ambacho seva ya uthibitishaji ipo. Uhusiano huo ndio unaounganisha ombi na kiolesura na na sera ambayo kiolesura hicho hutumia. Kuichagua kwa kiolesura chochote kinachoelekea mtandao, au kuacha kilichobaki kutoka uhamisho wa mwisho, huzalisha anwani ya chanzo ambayo seva ya mbali na handaki hazikujengwa kwa ajili yake.

inside ni jibu sahihi tu wakati kiolesura kilichotajwa kinashikilia anwani ambayo muundo wako unakusudia kuitumia kama chanzo. Kwenye kifaa cha tawi mara nyingi ni hivyo; kwenye kifaa chenye sehemu kadhaa za kibinafsi huenda si hivyo.

Kubadilisha uhusiano kunamaanisha kuunda upya ingizo

Marejeleo hayo hayo ya amri huandika kizuizi cha uhariri kinachowakamata watu wakati wa mabadiliko: kubadilisha kiolesura kwenye mwenyeji aliyepo kunahitaji ingizo la mwenyeji kuondolewa na kuundwa upya. Usanidi unaoonekana umehaririwa huenda haukuanza kutumika, na jaribio la kuingia linalofuata bado litatoka kwenye anwani ya zamani. Panga hilo kama kufuta-na-kuongeza ukiwa na nakala ya ingizo la awali mbele yako, si kama marekebisho ya papo hapo.

Ikiwa seva kadhaa zimefafanuliwa, badilisha moja na uijaribu kabla ya kugusa zingine, ili kosa moja lisifunge njia zote za usimamizi kwa wakati mmoja.

Kagua vichaguzi, tafsiri na njia ya kurudi pamoja

Mambo matatu lazima yapatane ili ombi lifike. Vichaguzi vya trafiki vya handaki, au ulinzi wa kiolesura cha handaki ikiwa unatumia mmoja, lazima vijumuishe chanzo cha ASA yenyewe na anwani ya seva; orodha ya vichaguzi iliyojengwa kwa subneti za watumiaji kwa kawaida haitafanya hivyo. Sheria yoyote ya NAT kwenye njia lazima ifasiri chanzo hicho kwa uthabiti, kwa sababu seva inaidhinisha utambulisho wa kifaa cha mtandao unaojumuisha anwani inayoiona. Na njia ya kurudi lazima iwepo, ambayo kwenye handaki la msingi wa sera inamaanisha upande wa mbali una kichaguzi kinacholingana kwa upande mwingine.

Kwa upande wa seva, thibitisha kando utambulisho wa kifaa, siri inayoshirikiwa na sera ya usimamizi. TACACS+ huweka uthibitishaji, uidhinishaji na uhasibu kama shughuli tofauti, kwa hivyo kukataliwa kunakuja baada ya mabadilishano yaliyokamilika ni jibu la sera, si kushindwa kwa usafirishaji. Kuiona kama tatizo la mtandao kunakutuma utafute mahali pasipofaa.

Weka siri nje ya kunasa pakiti, tiketi na maandishi wakati unatambua hitilafu, na kumbuka kwamba anwani ya chanzo ambayo seva huiandika ndiyo ambayo muundo wako unapaswa kuieleza.

Fanya mabadiliko bila kujifungia nje

Tumia konsoli au njia huru ya usimamizi wakati unabadilisha uthibitishaji wa usimamizi wa mbali, na weka mbadala wa ndani ulioidhinishwa hadi njia mpya ibebe kuingia halisi. Kisha thibitisha kwa uangalifu: seva moja, kifaa kimoja, uthibitishaji mmoja uliofanikiwa ukiwa na anwani ya chanzo iliyozingatiwa pande zote mbili.

Andika mkondo kwenye ukurasa wake: kiolesura na anwani ya asili, seva ya mbali, njia iliyolindwa, na mtu anayemiliki sera ya uidhinishaji. Kisha mabadiliko ya baadaye ya kiolesura au handaki yanaweza kutathminiwa bila kukisia ni mkondo upi kati ya miwili unaathiriwa.