Kwa nini mtumiaji wa mbali wa ASA anafikia subnet lakini si programu
Njia zinathibitisha kuwa handaki inafanya kazi, si kwamba mtumiaji anaweza kufungua programu. Soma kichujio ambacho kikao kilipokea, kisha jaribu muunganisho ulioruhusiwa na uliokataliwa.
Mtumiaji wako anaunganisha, anapata anwani, anapinga seva iliyo kwenye subnet ya programu, na bado hawezi kufungua huduma iliyo juu yake. Mchanganyiko huo ni wa kawaida kwenye ASA, kwa sababu handaki iliyofanikiwa na idhini inayoweza kutumika huamuliwa na mipangilio tofauti. Orodha ya handaki iliyogawanywa ilichagua ni maeneo gani yaliyoingia kwenye handaki; kichujio cha VPN na sheria za ufikiaji za marudio yenyewe huamua ombi lililofichuliwa linaweza kufikia nini. Pitia maamuzi matatu kwa mpangilio badala ya kupanua orodha ya njia hadi kitu kibadilike.
Maamuzi matatu ambayo ni rahisi kuchanganya
Kibali hujibu kama mtumiaji anaweza kujenga handaki kabisa: vitambulisho, cheti na kipengele chochote cha pili. Uchaguzi wa njia hujibu ni maeneo gani mteja anayapeleka kwenye handaki hiyo. Idhini hujibu kama ombi lililofichuliwa linaweza kufikia huduma. Ni la tatu pekee linalozalisha hitilafu ambayo mtumiaji anairipoti.
Njia ya haraka ya kuzitofautisha ni kuuliza mabadiliko yangevunja nini. Kuondoa njia kwenye orodha iliyogawanywa kunasimamisha trafiki kuelekea subnet hiyo bila kutoa chochote; kuongeza ACE kwenye kichujio cha VPN kunatoa marudio bila kubadilisha kile mteja anachoweka kwenye handaki.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Soma kichujio ambacho kikao kilipokea kwa kweli
Anza na kikao hai na si usanidi unaodhani unatumika. show vpn-sessiondb detail anyconnect huchapisha sera ya kikundi iliyotolewa na jina la kichujio kilichounganishwa na kikao hicho. Ikiwa sehemu hiyo ni tupu, hakuna kichujio kinachotekeleza chochote na kizuizi kinatoka mahali pengine.
Kisha soma sera inayomiliki thamani, pamoja na chaguo-msingi, kwa sababu kichujio kinaweza kurithiwa badala ya kuandikwa mahali unapotazama:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Linganisha jina la kichujio kwenye kikao na ACL uliyoihariri sasa hivi. ACL yenye jina linalofanana ambayo mtumiaji hakuwahi kuipokea haiwezi kubadilisha sera ya rasilimali ya kikao hicho, na hii ni sababu ya kawaida zaidi kwa nini mabadiliko yanayonekana sahihi hayana athari.
Kipaumbele kinaeleza vingine. Kwa mpangilio wa kichujio, rekodi ya DAP inapita juu ya sifa za jina la mtumiaji, na sifa za jina la mtumiaji zinapita juu ya sera ya kikundi. Kikao kinapoonyesha kichujio usiyokitarajia, tafuta sera ya DAP inayolingana na mtumiaji huyo kabla ya kugusa kikundi.
Orodha iliyogawanywa na kichujio ni sehemu tofauti
Kwenye ASA 9.x sera ya kikundi inashikilia split-tunnel-network-list na vpn-filter kama mipangilio tofauti, na mwongozo wa sera za kikundi 9.22 huziandika kando kwa sababu hiyo hiyo. Orodha ya mtandao ni kidokezo cha uelekezaji kwa mteja; kichujio ni orodha ya udhibiti wa ufikiaji inayotumika kwa trafiki iliyofichuliwa.
Tofauti hiyo ni muhimu wakati mtumiaji anahitaji huduma moja ya HTTPS kwenye subnet. Weka subnet kwenye orodha iliyogawanywa ili pakiti ziingie kwenye handaki, kisha ruhusu huduma hiyo pekee kwenye kichujio. Kupanua orodha ya njia hakuidhinishi chochote, na kuipunguza si utaratibu wa utekelezaji.
Angalia kama ACL ya kiolesura iko kwenye njia hata
Trafiki ya ufikiaji wa mbali iliyofichuliwa haipiti kila mara ACL ya kiolesura cha nje kama watu wanavyodhani. Pale sysopt connection permit-vpn imewezeshwa, ASA hutumia upitaji wake wa VPN ulioandikwa kwa trafiki hiyo, wakati vichujio vya VPN vinavyotumika bado vinaendelea baada ya hapo. Angalia mpangilio kwa show run all sysopt badala ya kufikiri kutoka kwenye mchoro wa topolojia.
Vyovyote vile, firewall ya mwenyeji wa marudio na idhini ya programu zinabaki kwenye njia. Sheria ya ASA inayoruhusu TCP 443 haifanyi programu imkubali mtumiaji.
Kubali mabadiliko pia kwa muunganisho uliokataliwa
Jaribio lililoruhusiwa pekee linathibitisha kidogo sana, kwa sababu handaki inayofanya kazi hutoa pakiti ile ile ya kwanza iwe kichujio kipo au hakipo. Fungua huduma inayokusudiwa kutoka kwa mteja, kisha jaribu marudio ambayo yanapaswa kubaki yamefungwa na uthibitishe kuwa inashindwa kwa sababu sahihi.
Rekodi mambo manne unapofunga tiketi: utambulisho uliokubaliwa, sera na kichujio ambavyo kikao kilipokea kwa kweli, maeneo kwenye orodha iliyogawanywa, na rasilimali ambayo mtumiaji aliruhusiwa kufikia. Haya manne yanaeleza wapi trafiki inadhibitiwa bila kugeuza orodha ya njia kuwa firewall.
Ikiwa huduma bado inakataa baada ya kichujio kuiruhusu, nenda kwa mwenyeji: anwani ya kusikiliza, firewall ya mwenyeji na ramani ya watumiaji ya programu yenyewe. Handaki ilifanya kazi yake wakati huo, na mabadiliko zaidi ya ASA yanaongeza hatari pekee.