VPN டிக்ரிப்ட் செய்த பிறகு எந்த ASA விதி டிராஃபிக்கைப் பார்க்கிறது

முதலில் கைவிட வேண்டிய அனுமானம், கிரிப்டோ ACL ஒரு அணுகல் கொள்கை என்பதாகும். அது இல்லை. Cisco ASA-வில் அந்தப் பட்டியல் ஒரு குறுகிய கேள்விக்கு மட்டுமே பதிலளிக்கிறது: எந்தப் பாக்கெட்டுகள் பாதுகாப்புக்குத் தகுதியானவை, அந்தப் பதில் டிக்ரிப்ட் செய்யப்பட்ட பாக்கெட் ஃபயர்வாலுக்குப் பின்னால் உள்ள சர்வரை அடைய முடியுமா என்பதைப் பற்றி எதுவும் சொல்லவில்லை. அணுகல் பின்னர் தீர்மானிக்கப்படுகிறது — இன்டர்ஃபேஸ் கொள்கை, குழு-கொள்கை வடிகட்டி, அல்லது இரண்டும் மூலம், சுரங்கப்பாதை எவ்வாறு கட்டப்பட்டது என்பதைப் பொறுத்து.

கிரிப்டோ ACL வேறு கேள்விக்குப் பதிலளிக்கிறது

கிரிப்டோ ACL ஒரு பொருத்தப் பட்டியல். இரு தரப்புகளுக்கு இடையே எதை என்க்ரிப்ட் செய்ய வேண்டும் என்பதைச் சுரங்கப்பாதைக்குச் சொல்கிறது; அதனுடன் பொருந்தாத பாக்கெட் பாதுகாக்கப்படுவதில்லை. அதை விரிவாக்குவது பாதுகாப்பின் எல்லையை மாற்றுகிறது, வேறு எதையும் இல்லை.

அதனால்தான் அங்கே ஒரு சப்நெட் சேர்த்தால் சுரங்கப்பாதை உயரலாம், ஆனால் உண்மையான பயன்பாடு இன்னும் தோல்வியடைகிறது. சுரங்கப்பாதை உயர்ந்திருப்பது இப்போது பொருத்தம் இருப்பதால். பயன்பாடு தோல்வியடைவது அந்தப் பட்டியலில் எதுவும் எதற்கும் அனுமதி தராததால். இரு வேறு கேள்விகள், இரு வேறு பட்டியல்கள்.

பைபாஸ் அமைப்பு உண்மையில் எதைத் தவிர்க்கிறது

sysopt connection permit-vpn பாதுகாக்கப்பட்ட டிராஃபிக்கை உள்வரும் பக்கத்தில் இல்லாவிட்டால் பொருந்தும் இன்டர்ஃபேஸ் ACL சரிபார்ப்பைத் தவிர்க்க அனுமதிக்கிறது. இது VPN பயன்பாடுகளுக்கான வசதி, மேலும் இது உலகளாவியது. இது குழு கொள்கையைத் தொடாது, ஒவ்வொரு பயனருக்கான அங்கீகார வடிகட்டியையும் தொடாது.

அனுமானத்திற்குப் பதிலாக உண்மையான மதிப்பைப் படியுங்கள்: show running-config all sysopt அமைப்பை எப்போதும் வெளிப்படையாக உள்ளமைக்காவிட்டாலும் அச்சிடுகிறது, பல குழப்பங்கள் அங்கிருந்தே தொடங்குகின்றன.

அமைப்பு உலகளாவியதால், தோல்வியடையும் ஒரு சப்நெட்டில் விரைவு பரிசோதனையாக அதைச் சோதிப்பது மோசமான பரிமாற்றம். அந்த ஃபயர்வாலில் உள்ள மற்ற ஒவ்வொரு சுரங்கப்பாதையும் முடிவைப் பகிர்ந்துகொள்கிறது. ரோல்பேக் திட்டத்துடன் கூடிய வேண்டுமென்ற மாற்றத்திற்கு அதை வைத்திருங்கள்.

டிக்ரிப்ட் திசையில் வடிகட்டியைப் படியுங்கள்

LAN-to-LAN vpn-filter இன்டர்ஃபேஸின் அல்ல, சுரங்கப்பாதையின் பார்வையில் இருந்து எழுதப்படுகிறது. டிக்ரிப்ட்டிற்குப் பிறகு பாக்கெட் அப்படித்தான் தெரிவதால், தொலை நெட்வொர்க் மூல நிலையிலும் உள்ளூர் நெட்வொர்க் இலக்கு நிலையிலும் வருகிறது. பின்னர் அதே வடிகட்டி என்க்ரிப்ஷனுக்கு முன் எதிர் திசையில் மீண்டும் மதிப்பிடப்படுகிறது, முகவரிகளின் பாத்திரங்கள் தலைகீழாக.

போர்ட் நிபந்தனைகள் நகலெடுக்கப்பட்ட இன்டர்ஃபேஸ் ACL-ஐ விட அதிக கவனம் தேவை, அதே காரணத்திற்காக. ஒரு இலக்கு போர்ட்டை அனுமதிக்கும் விதி எதிர் திசையில் எதிர்பாராத விளைவை ஏற்படுத்தலாம், அங்கு புதிய இணைப்பு அந்தப் போர்ட்டை அதன் மூலமாகப் பயன்படுத்துகிறது. பட்டியலை உருவாக்கும் முன் எந்தப் பக்கம் தொடங்கலாம், உண்மையான சேவை என்ன, எந்த எதிர்ப் பக்கம் மூடியே இருக்க வேண்டும் என்பதை எழுதுங்கள்.

எந்த வடிகட்டி உண்மையில் இணைக்கப்பட்டுள்ளது என்பதை உறுதிசெய்யுங்கள்: show running-config group-policy மற்றும் show vpn-sessiondb detail l2l ஒன்றாக அமர்வு எதைப் பெற்றது என்பதைச் சொல்கின்றன. எந்தக் கொள்கையும் குறிப்பிடாத ACL-ஐத் திருத்துவது எதையும் மாற்றாது.

ஒரு ACL பொருளை இரு வேலைகளுக்குப் பயன்படுத்த வேண்டாம்

இன்டர்ஃபேஸின் access-group மற்றும் vpn-filter ஒரே வகைப் பொருளாகத் தெரிகின்றன, ஆனால் வெவ்வேறு இடங்களில் வெவ்வேறு முகவரி திசையுடன் மதிப்பிடப்படுகின்றன. ஒரு பட்டியலை இரண்டிற்கும் வழங்குவது சுரங்கப்பாதையைச் சரிசெய்து இயற்பியல் இன்டர்ஃபேஸை அமைதியாகத் தளர்த்தும் மாற்றத்திற்கு அழைப்பு விடுக்கிறது.

அவற்றைத் தனியாக வைத்திருங்கள், அவற்றின் வேலைக்கேற்ப பெயரிடுங்கள், திசை வேறுபாடு பெயர்களில் தெரியட்டும்.

புதிய இணைப்புகளுடன், இரு திசைகளிலும் சரிபார்க்கவும்

திட்டமிட்ட மாற்றத்திற்குப் பிறகு, அனுமதிக்கப்பட வேண்டிய ஒரு புதிய இணைப்பையும் மறுக்கப்பட வேண்டிய ஒரு புதிய இணைப்பையும் திறந்து, பின்னர் முகவரிகள், திசை மற்றும் கொள்கைப் பொருத்தத்தை முடிவுடன் பதிவு செய்யுங்கள். நிறுவப்பட்ட அமர்வு புதிய-இணைப்பு வடிகட்டலைப் பற்றி எதையும் நிரூபிக்காது, ஏனெனில் அது பழைய விதிகளின் கீழ் ஏற்கனவே அனுமதிக்கப்பட்டுள்ளது.

ஆய்வையும் கணக்கில் எடுத்துக் கொள்ளுங்கள். விற்பனையாளர் ஆவணங்கள் VPN வடிகட்டி ஆரம்ப இணைப்பைச் சரிபார்க்கிறது என்று குறிப்பிடுகின்றன, ஆய்வு இயந்திரம் திறக்கும் ஒவ்வொரு இரண்டாம் நிலை இணைப்பையும் அல்ல, எனவே கட்டுப்பாட்டு சேனலும் அதனுடன் தொடர்புடைய மீடியா ஓட்டமும் வேறு விதமாக நடத்தப்படலாம். பயன்பாடு நெறிமுறையை அறிந்தால், ஒரு போர்ட் ஆய்வுக்குப் பதிலாக உண்மையான ஓட்டத்தைச் சோதிக்கவும்.

பரந்த பைபாஸுக்குப் பிறகு பயன்படுத்தக்கூடியதாக மாறும் சுரங்கப்பாதை கட்டுப்பாடு நீக்கப்பட்டது என்று சொல்கிறது, அது நிறைவேற்றப்பட்டது என்று அல்ல. தக்கவைக்கத் தகுந்த முடிவு அடுத்த மதிப்பாய்வில் சுட்டிக்காட்டக்கூடிய பெயரிடப்பட்ட அமலாக்கப் புள்ளியாகும்.