Je, subnet ya VPN hurithi kiwango cha usalama cha kiolesura cha ASA?

Subnet ya VPN iliyofumbuliwa haimrithi kamwe kiwango cha usalama cha kiolesura. Angalia sysopt connection permit-vpn, kichujio cha kikundi na ufikiaji wa usimamizi kwa kando.

Mtu fulani anauliza kama subnet ya VPN ya tawi ina «kiwango cha usalama 0 au 100» kwenye ASA, na swali tayari lina hitilafu. Kiwango cha usalama ni sifa ya kiolesura cha ndani, na hupewa kuanzia 0 hadi 100 katika usanidi wa kiolesura. Subnet ya mbali inayofika kupitia handaki haipati kimoja, jinsi crypto map ilivyoandikwa. Ndiyo sababu swali halina jibu la nambari.

Swali la vitendo linalofuata ni bora zaidi: sera gani inaruhusu tawi kufika kwa seva, na ipi inalifanya likae mbali na firewall yenyewe. Hayo ni majibu mawili, na utaratibu hapa chini unayatenganisha.

Viwango vya usalama ni vya violesura

Endesha show running-config interface na utaona security-level chini ya kila kiolesura halisi au kiolesura cha VLAN, sio chini ya kikundi cha handaki au crypto map. Ruhusa ya chaguo-msingi kutoka juu hadi chini hupimwa kati ya violesura hivyo, ndiyo sababu nambari hubadilisha tabia ya ukaguzi na ACL isiyo wazi kwenye njia inayomilikiwa nayo.

Kwa mtiririko wa VPN uliofumbuliwa, kiingilio bado ni kiolesura cha outside ambapo handaki huisha, na kitokeo ni kiolesura cha inside kuelekea seva. Andika vyote viwili kabla ya kugusa kitu chochote. Hatua hiyo moja huondoa sehemu kubwa ya mkanganyiko, kwa sababu hugeuza swali la uaminifu lisilo na kipimo kuwa jozi ya violesura.

Upitaji wa ACL una mpaka wenye jina

sysopt connection permit-vpn ni mpangilio ambao watu hukumbuka nusu wanaposema trafiki ya VPN hupuuza ACL. Kwa kweli huruka ACL ya kiolesura kwa trafiki inayostahiki kama trafiki ya VPN, na mwongozo wa vigezo wa 9.x huiweka kwa kiolesura na mwelekeo badala ya kutangaza msamaha wa kimataifa.

Angalia kilichosanidiwa kabla ya kufikiri kutoka kumbukumbu:

  • show running-config all sysopt kuona thamani halisi, sio mistari isiyo ya chaguo-msingi pekee.
  • show running-config access-group kuona ni ACL ipi inatumika kwa kiolesura kipi na mwelekeo upi.
  • show vpn-sessiondb detail l2l kuthibitisha ni kikundi kipi cha handaki na kichujio kipi kipindi kinatumia kwa kweli.

Kuzima mpangilio huo ili kukaza ufikiaji wa VPN ni mabadiliko yenye athari kubwa. Inaweka tena kila mtiririko wa VPN unaostahiki chini ya ACL ya nje, jambo ambalo kwa kawaida huvunja handaki zinazofanya kazi kwa njia zisizohusiana na tawi uliloulizwa.

Soma kichujio kilichoambatishwa kwenye kipindi

Udhibiti halisi kwa kila handaki ni kichujio cha VPN: ACL inayorejelewa na sera ya kikundi au jina la mtumiaji, inatumika baada ya ufumbuzi na kabla ya usimbaji fiche. Kichujio cha ngazi ya mtumiaji hupita thamani ya ngazi ya kikundi, kwa hiyo watu wawili katika kikundi kimoja cha handaki wanaweza kuwa na ufikiaji halisi tofauti.

Thibitisha kipaumbele badala ya kukidhani. show running-config group-policy <name> huonyesha thamani ya kikundi, na show running-config username <name> huonyesha kama thamani ya kila mtumiaji ipo. Kama zote zipo, thamani ya mtumiaji inashinda. Kisha linganisha maingizo ya ACL hiyo na mtiririko unaokujali, katika mwelekeo ambao kichujio hupima.

Kichujio kinachoruhusu seva ya programu hakisemi chochote kuhusu usimamizi. Hiyo ni kanuni tofauti kwenye njia tofauti.

Thibitisha ruhusa moja na katazo moja

Packet-tracer ndiyo njia ya haraka zaidi ya kuona uamuzi bila kusubiri mtumiaji arudishe taarifa. Ipe mtiririko wa upande uliofumbuliwa na iache itaje hatua za ACL, NAT na ukaguzi inazopitia.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Soma mstari wa matokeo: unataja ACL iliyoruhusu au iliyotupa pakiti.
  3. Rudia na lengo la usimamizi kwenye kiolesura cha inside na thibitisha katazo.
  4. Rudia mara moja zaidi baada ya mabadiliko yoyote, ili hali ya kabla na baada zote zirekodiwe.

Kisha thibitisha kwa trafiki halisi: ombi moja la programu lililofanikiwa kutoka tawi na jaribio moja la SSH lililoshindwa kuelekea ASA. Packet-tracer huiga njia; mtiririko hai huthibitisha kwamba muundo ulilingana.

Rejesha mabadiliko yaliyoifanya ifanye kazi

Kama suluhisho lilikuwa kuzima upitaji wa ACL au kupanua kichujio, hifadhi usanidi wa awali. Nakala ya show run ya vitu vilivyoathirika, iliyohifadhiwa kabla ya mabadiliko, inatosha kuvirejesha; usanidi wa ASA unaelekezwa kwa mistari, kwa hiyo kurejesha kunamaanisha kuandika tena mistari ya zamani, sio kurejesha faili.

Rekodi jozi ya violesura, kichujio halisi, jina la ACL kutoka packet-tracer na amri kamili ulizobadilisha. Rekodi hiyo hubadilisha ukaguzi unaofuata kuwa ukaguzi wa dakika tano badala ya mjadala mwingine kuhusu viwango vya uaminifu.

Makala zinazohusiana