VPN kati ya maeneo inafanya kazi, lakini kumbukumbu za ASA hazifiki: angalia anwani ya chanzo

Wenyeji wa ndani hufikia mkusanyaji wa mbali na mistari yao ya syslog inaonekana. Ujumbe wa ASA wenyewe kuhusu vipindi hivyo hivyo haufiki kamwe. Hakuna kosa kwa mkusanyaji au kwa handaki, na hiyo ndiyo sehemu inayochanganya. Firewall inatuma kumbukumbu zake kutoka chanzo ambacho handaki haikujengwa kamwe kulinda.

Kinachofika na kisichofika

Anza kwa kutenganisha mitiririko miwili inayofanana kwenye dashibodi. Trafiki inayopitishwa hupitia ASA: mwenyeji wa LAN hutuma kwa mkusanyaji, ASA inailinganisha na sera ya handaki, inaisimba kwa siri, na mkusanyaji anaona anwani ya mwenyeji. Trafiki inayozalishwa huanza kwenye ASA yenyewe: kifaa huunda pakiti ya syslog, huchagua kiolesura cha kutoka na chanzo, na kisha tu huuliza kama sera yoyote ya handaki inalingana. Mtiririko wa kwanza unathibitisha kwamba handaki inafanya kazi, na haisemi chochote kuhusu wa pili.

Tukio lililohifadhiwa kwenye kifaa pia si uthibitisho wa uwasilishaji wa mbali, kwa sababu kumbukumbu inaweza kuwepo ndani ya nchi na isitumwe kamwe. Angalia vihesabu vya upokeaji vya mkusanyaji kabla ya kulaumu handaki, kwa sababu kihesabu tupu ni tofauti na kile kinachokua.

Ujumbe uliozalishwa si trafiki inayopitishwa

ASA inapozalisha pakiti yenyewe, haifanyi kazi kama wakala wa mwenyeji wa LAN. Chanzo hutoka kwenye kiolesura cha kutoka au kwenye mpangilio dhahiri wa chanzo, na pakiti huingia kwenye utafutaji ule ule wa njia na ukaguzi ule ule wa sera kama kila kitu kingine kifacho hutuma. Hiyo inamaanisha kichaguzi cha VPN lazima kijumuishe anwani ambayo ASA inatumia kwa kweli, na mara nyingi hiyo ni kiolesura chake cha nje na si subnet ya ndani.

Ikiwa sera inalinda 10.20.0.0/24 na ASA inatumia anwani yake ya nje kama chanzo, pakiti ya kumbukumbu ama inatoka kwa maandishi wazi kuelekea mkusanyaji ambao haiwezi kuufikia, au inatupwa. Matokeo yote mawili yanaonekana sawa kutoka upande wa mkusanyaji. Hoja hiyo hiyo inatumika kwa trafiki ya usimamizi, ndiyo sababu management-access ni uamuzi tofauti wa muundo.

Chanzo kipi ASA inaweka kwenye mtandao

Pata chanzo kwa majaribio na si kwa dhana. Ukamataji kwenye kiolesura cha kutoka wakati wa ujumbe wa jaribio unaonyesha chanzo na lengo halisi, na huchukua muda mdogo kuliko kusoma sehemu tatu za usanidi. Linganisha anwani hiyo na kichaguzi cha ndani cha handaki.

Matoleo mengine huruhusu kufunga chanzo cha kumbukumbu kwenye kiolesura, na rejeleo la amri la toleo lako ndilo mamlaka kuhusu ikiwa chaguo hilo lipo na linabadilisha nini. Amri ya source-interface kutoka jukwaa lingine la Cisco si halali kiotomatiki kwenye ASA.

Ikiwa utabadilisha chanzo, fanya hivyo kwa kusudi na uandike, kwa sababu ACL za mkusanyaji na uhusiano wowote uliojengwa juu ya syslog hutegemea hilo.

Linganisha kichaguzi na mtiririko wa kumbukumbu

Chanzo kikijulikana, angalia mambo matatu kwa mpangilio: ACL ya usimbaji fiche au kichaguzi cha msingi wa sera kinachoamua trafiki ipi inavutia, njia inayoamua pakiti inakwenda wapi, na kanuni yoyote ya NAT inayoweza kuandika tena chanzo kabla ya usimbaji fiche. Pakiti inayolingana na njia lakini si kichaguzi haipitishwi kwenye handaki, na pakiti iliyoandikwa tena na NAT inaweza isilingane na yote mawili.

Upande wa mkusanyaji una mahitaji yake: ACL inayoruhusu chanzo cha ASA, njia ya kurudi, na huduma inayosikiliza kwenye bandari uliyosanidi. Usafirishaji pia ni muhimu hapa, kwa sababu ukumbikaji wa TCP na TLS hujiendesha tofauti na UDP kwenye njia iliyozuiwa kwa sehemu. Badilisha kipengele kimoja kwa wakati mmoja, vinginevyo ukamataji unaofuata hautakuambia ni badiliko gani lilikuwa muhimu.

Thibitisha kwa mkusanyaji, kisha andika chanzo

Hakikisha kwamba ujumbe unafika, kisha andika anwani ya chanzo ambayo ASA ilitumia, kichaguzi kilichouleta na ukali ulioujaribu.

Kumbukumbu hiyo inabadilisha badiliko linalofuata la ACL la mkusanyaji au uhariri wa kichaguzi kuwa ukaguzi wa dakika mbili badala ya ugunduzi upya. Pia huandika ni mtiririko upi kati ya miwili uliwahi kuthibitishwa, na hiyo ndiyo sehemu ambayo vitabu vingi vya mwongozo huiacha. Ikiwa ujumbe bado haufiki, punguza kwa muda kizingiti cha ukali na ujaribu dhidi ya lengo moja.

Maswali yanayoulizwa mara kwa mara kuhusu ukumbikaji wa ASA kutoka Cisco huandika kisa cha chanzo cha nje kinachohitaji ufafanuzi unaolingana wa trafiki iliyolindwa, na mfano wao wa chanzo cha ndani unajumuisha mwenyeji wa kumbukumbu ndani na management-access ndani. Shughulikia mchanganyiko ulioandikwa na muktadha wa programu pamoja, badala ya kudhani kwamba mstari mmoja ulionakiliwa unafaa kila usanidi.

Handaki inayobeba trafiki ya LAN si handaki inayobeba sauti ya firewall yenyewe.