தள VPN செயல்படுகிறது, ஆனால் ASA பதிவுகள் வரவில்லை: மூல முகவரியைச் சரிபார்க்கவும்

உள் புரவலர்கள் தொலை சேகரிப்பாளரை அடைகின்றன, அவற்றின் syslog வரிகள் தோன்றுகின்றன. அதே அமர்வுகள் பற்றிய ASA இன் சொந்தச் செய்திகள் ஒருபோதும் வருவதில்லை. சேகரிப்பாளரிலோ சுரங்கப்பாதையிலோ எந்தத் தவறும் இல்லை, அதுதான் குழப்பமான பகுதி. ஃபயர்வால் தன் பதிவுகளைச் சுரங்கப்பாதை ஒருபோதும் பாதுகாக்க உருவாக்கப்படாத மூலத்திலிருந்து அனுப்புகிறது.

என்ன வருகிறது, என்ன வரவில்லை

டாஷ்போர்டில் ஒரே மாதிரி தோன்றும் இரண்டு ஓட்டங்களைப் பிரிப்பதில் தொடங்குங்கள். அனுப்பப்படும் போக்குவரத்து ASA வழியாகச் செல்கிறது: ஒரு LAN புரவலர் சேகரிப்பாளருக்கு அனுப்புகிறது, ASA அதைச் சுரங்கப்பாதைக் கொள்கையுடன் பொருத்தி, குறியாக்கம் செய்கிறது, சேகரிப்பாளர் புரவலரின் முகவரியைப் பார்க்கிறது. உருவாக்கப்படும் போக்குவரத்து ASA இலேயே தொடங்குகிறது: சாதனம் ஒரு syslog பொதியை உருவாக்கி, வெளியேறும் இடைமுகத்தையும் மூலத்தையும் தேர்ந்தெடுத்த பிறகே ஏதேனும் சுரங்கப்பாதைக் கொள்கை பொருந்துகிறதா என்று கேட்கிறது. முதல் ஓட்டம் சுரங்கப்பாதை செயல்படுவதை நிரூபிக்கிறது, இரண்டாவது பற்றி எதுவும் சொல்லவில்லை.

சாதனத்தில் இடையகப்படுத்தப்பட்ட நிகழ்வும் தொலை விநியோகத்திற்கான ஆதாரம் அல்ல, ஏனெனில் பதிவு உள்ளூரில் இருக்கலாம், ஒருபோதும் அனுப்பப்படாமல் இருக்கலாம். சுரங்கப்பாதையைக் குறை சொல்வதற்கு முன் சேகரிப்பாளரின் பெறுதல் கணக்கிகளைச் சரிபார்க்கவும், ஏனெனில் காலியான கணக்கி வளரும் கணக்கியிலிருந்து வேறுபட்ட கண்டுபிடிப்பு.

உருவாக்கப்பட்ட செய்தி அனுப்பப்படும் போக்குவரத்து அல்ல

ASA தானே பொதியை உருவாக்கும்போது, அது ஒரு LAN புரவலருக்குப் பதிலாளாக இல்லை. மூலம் வெளியேறும் இடைமுகத்திலிருந்தோ வெளிப்படையான மூல அமைப்பிலிருந்தோ வருகிறது, பொதி சாதனம் அனுப்பும் மற்ற எல்லாவற்றையும் போலவே அதே வழித்தடத் தேடலுக்கும் கொள்கைச் சோதனைகளுக்கும் நுழைகிறது. அதாவது VPN தேர்வி ASA உண்மையில் பயன்படுத்தும் முகவரியை உள்ளடக்க வேண்டும், அது பெரும்பாலும் அதன் வெளி இடைமுகம், உள் துணை வலையம் அல்ல.

கொள்கை 10.20.0.0/24 ஐப் பாதுகாக்கிறது, ASA தன் வெளி முகவரியை மூலமாகப் பயன்படுத்துகிறது எனில், பதிவுப் பொதி அடைய முடியாத சேகரிப்பாளரை நோக்கித் தெளிவான உரையில் வெளியேறுகிறது, இல்லையேல் நிராகரிக்கப்படுகிறது. சேகரிப்பாளர் பக்கத்திலிருந்து இரு முடிவுகளும் ஒரே மாதிரி தோன்றும். அதே தர்க்கம் நிர்வாகப் போக்குவரத்துக்கும் பொருந்தும், அதனால்தான் management-access தனி வடிவமைப்பு முடிவு.

ASA வலையமைப்பில் எந்த மூலத்தை வைக்கிறது

மூலத்தை ஊகத்தால் அல்ல, சோதனையால் கண்டறியுங்கள். சோதனைச் செய்தியின் போது வெளியேறும் இடைமுகத்தில் பிடிப்பு உண்மையான மூலத்தையும் இலக்கையும் காட்டுகிறது, அது மூன்று உள்ளமைவுப் பிரிவுகளைப் படிப்பதை விடக் குறைந்த நேரம் எடுக்கும். அந்த முகவரியைச் சுரங்கப்பாதையின் உள்ளூர் தேர்வியுடன் ஒப்பிடுங்கள்.

சில வெளியீடுகள் பதிவு மூலத்தை ஒரு இடைமுகத்தில் பொருத்த அனுமதிக்கின்றன, உங்கள் பதிப்புக்கான கட்டளை குறிப்பே அந்த விருப்பம் உள்ளதா, என்ன மாற்றுகிறது என்பதற்கான அதிகாரம். வேறு Cisco தளத்தின் source-interface கட்டளை ASA இல் தானாகச் செல்லுபடியாகாது.

மூலத்தை மாற்றினால், வேண்டுமென்றே மாற்றி பதிவு செய்யுங்கள், ஏனெனில் சேகரிப்பாளரின் ACL களும் syslog அடிப்படையிலான எந்தத் தொடர்பும் அதைச் சார்ந்துள்ளது.

தேர்வியைப் பதிவு ஓட்டத்துடன் பொருத்துங்கள்

மூலம் தெரிந்ததும் மூன்று விஷயங்களை வரிசையாகச் சரிபார்க்கவும்: எந்தப் போக்குவரத்து சுவாரஸ்யமானது என்பதைத் தீர்மானிக்கும் குறியாக்க ACL அல்லது கொள்கை அடிப்படையிலான தேர்வி, பொதி எங்கு செல்கிறது என்பதைத் தீர்மானிக்கும் வழித்தடம், குறியாக்கத்துக்கு முன் மூலத்தை மீண்டும் எழுதக்கூடிய எந்த NAT விதியும். வழித்தடத்துடன் பொருந்தி தேர்வியுடன் பொருந்தாத பொதி சுரங்கப்பாதையாகாது, NAT மீண்டும் எழுதிய பொதி இரண்டுடனும் பொருந்தாமல் போகலாம்.

சேகரிப்பாளர் பக்கத்துக்கு அதன் சொந்தத் தேவைகள் உள்ளன: ASA இன் மூலத்தை அனுமதிக்கும் ACL, திரும்பும் வழித்தடம், நீங்கள் உள்ளமைத்த துறையில் கேட்கும் சேவை. இங்கும் இடமாற்றம் முக்கியம், ஏனெனில் பகுதியளவு தடுக்கப்பட்ட பாதையில் TCP மற்றும் TLS பதிவு UDP இலிருந்து வேறுபட்டு நடந்துகொள்ளும். ஒரு நேரத்தில் ஒரு உறுப்பை மாற்றுங்கள், இல்லையேல் அடுத்த பிடிப்பு எந்த மாற்றம் முக்கியம் என்று சொல்லாது.

சேகரிப்பாளரில் சரிபார்த்து, பின்னர் மூலத்தைப் பதிவு செய்யுங்கள்

செய்தி வருகிறது என்பதை உறுதிப்படுத்தி, பின்னர் ASA பயன்படுத்திய மூல முகவரி, அதை எடுத்துச் சென்ற தேர்வி, நீங்கள் சோதித்த தீவிரத்தை எழுதுங்கள்.

அந்தப் பதிவு அடுத்த சேகரிப்பாளர் ACL மாற்றத்தையோ தேர்வி திருத்தத்தையோ மீண்டும் கண்டுபிடிப்பதற்குப் பதிலாக இரண்டு நிமிடச் சரிபார்ப்பாக மாற்றுகிறது. இரு ஓட்டங்களில் எது எப்போதாவது சரிபார்க்கப்பட்டது என்பதையும் அது பதிவு செய்கிறது, பெரும்பாலான கையேடுகள் விட்டுவிடும் பகுதி அதுதான். செய்தி இன்னும் வரவில்லை எனில் தீவிர வரம்பைத் தற்காலிகமாகக் குறைத்து ஒரே இலக்குக்கு எதிராகச் சோதியுங்கள்.

Cisco இன் ASA பதிவு பற்றிய அடிக்கடி கேட்கப்படும் கேள்விகள் வெளி மூலம் கொண்ட ஒரு நிகழ்வைப் பதிவு செய்கின்றன, அதற்கு தொடர்புடைய பாதுகாக்கப்பட்ட போக்குவரத்து வரையறை தேவை, அவற்றின் உள் மூல எடுத்துக்காட்டில் உள்ளே பதிவு புரவலரும் உள்ளே management-access உம் அடங்கும். பதிவு செய்யப்பட்ட கலவையையும் மென்பொருள் சூழலையும் ஒன்றாகக் கருதுங்கள், நகலெடுத்த ஒரு வரி ஒவ்வொரு உள்ளமைவுக்கும் பொருந்தும் என்று கருத வேண்டாம்.

LAN போக்குவரத்தை எடுத்துச் செல்லும் சுரங்கப்பாதை ஃபயர்வாலின் சொந்தக் குரலை எடுத்துச் செல்லும் சுரங்கப்பாதை அல்ல.