VPN துணை வலையமைப்பு ASA இடைமுகத்தின் பாதுகாப்பு நிலையைப் பெறுகிறதா?

மறைகுறியாக்கம் நீக்கப்பட்ட VPN துணை வலையமைப்பு ஒருபோதும் இடைமுகத்தின் பாதுகாப்பு நிலையை மரபுரிமையாகப் பெறுவதில்லை. sysopt connection permit-vpn, குழு வடிகட்டி மற்றும் நிர்வாக அணுகலைத் தனித்தனியாகச் சரிபார்க்கவும்.

கிளையின் VPN துணை வலையமைப்பு ASA இல் «பாதுகாப்பு நிலை 0 அல்லது 100» கொண்டிருக்கிறதா என்று யாரோ கேட்கிறார்கள், அந்தக் கேள்வியிலேயே தவறு உள்ளது. பாதுகாப்பு நிலை என்பது உள்ளூர் இடைமுகத்தின் பண்பு, இடைமுக உள்ளமைவில் 0 முதல் 100 வரை வழங்கப்படுகிறது. சுரங்கப்பாதை வழியாக வரும் தொலை துணை வலையமைப்பு எந்த நிலையையும் பெறுவதில்லை, crypto map எவ்வாறு எழுதப்பட்டிருந்தாலும். எனவே கேள்விக்கு எண்ணியல் பதில் இல்லை.

நடைமுறை அடுத்த கேள்வி சிறந்தது: எந்தக் கொள்கை கிளையை சேவையகத்திற்கு அனுமதிக்கிறது, எது அதை தீர்வரிச் சுவரிலிருந்தே தள்ளி வைக்கிறது. அவை இரண்டு பதில்கள், கீழேயுள்ள நடைமுறை அவற்றைப் பிரிக்கிறது.

பாதுகாப்பு நிலைகள் இடைமுகங்களுக்குரியவை

show running-config interface இயக்கவும், ஒவ்வொரு இயற்பியல் இடைமுகம் அல்லது VLAN இடைமுகத்தின் கீழ் security-level தெரியும், சுரங்கக் குழு அல்லது crypto map இன் கீழ் அல்ல. உயர்ந்ததிலிருந்து தாழ்வுக்கான இயல்பிருப்பு அனுமதி அந்த இடைமுகங்களுக்கிடையே மதிப்பிடப்படுகிறது, அதனால் எண் தான் சேர்ந்த பாதையில் ஆய்வு மற்றும் மறைமுக ACL நடத்தையை மாற்றுகிறது.

மறைகுறியாக்கம் நீக்கப்பட்ட VPN ஓட்டத்திற்கு, நுழைவு இன்னும் சுரங்கப்பாதை முடியும் outside இடைமுகம், வெளியேற்றம் சேவையகத்தை நோக்கிய inside இடைமுகம். எதையும் தொடுவதற்கு முன் இரண்டையும் எழுதுங்கள். அந்த ஒரு படி பெரும்பாலான குழப்பத்தை நீக்குகிறது, ஏனெனில் அது ஒரு கருத்தியல் நம்பிக்கை கேள்வியை இடைமுக ஜோடியாக மாற்றுகிறது.

ACL தவிர்ப்புக்கு பெயரிடப்பட்ட எல்லை உள்ளது

VPN போக்குவரத்து ACL களை புறக்கணிக்கிறது என்று சொல்லும்போது மக்கள் பாதி நினைவில் வைத்திருக்கும் அமைப்பு sysopt connection permit-vpn. இது VPN போக்குவரத்து என தகுதி பெறும் போக்குவரத்துக்கு இடைமுக ACL ஐ உண்மையில் தவிர்க்கிறது, 9.x அளவுரு வழிகாட்டி அதை உலகளாவிய விதிவிலக்காக அறிவிக்காமல் இடைமுகம் மற்றும் திசையின்படி வரம்பிடுகிறது.

நினைவிலிருந்து பகுத்தறிவதற்கு முன் எது உள்ளமைக்கப்பட்டுள்ளது என்பதைச் சரிபார்க்கவும்:

  • show running-config all sysopt உண்மையான மதிப்பைக் காண, இயல்பிருப்பு அல்லாத வரிகளை மட்டுமல்ல.
  • show running-config access-group எந்த ACL எந்த இடைமுகம் மற்றும் திசைக்கு பயன்படுத்தப்பட்டுள்ளது என்பதைக் காண.
  • show vpn-sessiondb detail l2l அமர்வு உண்மையில் எந்த சுரங்கக் குழு மற்றும் வடிகட்டியைப் பயன்படுத்துகிறது என்பதை உறுதிப்படுத்த.

VPN அணுகலை இறுக்க அந்த அமைப்பை அணைப்பது பெரிய தாக்கத்தின் மாற்றம். இது தகுதியான ஒவ்வொரு VPN ஓட்டத்தையும் மீண்டும் வெளிப்புற ACL க்கு உட்படுத்துகிறது, இது பொதுவாக இயங்கும் சுரங்கப்பாதைகளை நீங்கள் கேட்கப்பட்ட கிளைக்கு தொடர்பில்லாத வழிகளில் உடைக்கிறது.

அமர்வுடன் இணைக்கப்பட்ட வடிகட்டியைப் படியுங்கள்

ஒவ்வொரு சுரங்கப்பாதைக்கும் உண்மையான கட்டுப்பாடு VPN வடிகட்டி: குழு கொள்கை அல்லது பயனர் பெயர் குறிப்பிடும் ACL, மறைகுறியாக்கம் நீக்கிய பின் மற்றும் மறைகுறியாக்கத்திற்கு முன் பயன்படுத்தப்படுகிறது. பயனர் நிலை வடிகட்டி குழு நிலை மதிப்பை மீறுகிறது, எனவே ஒரே சுரங்கக் குழுவில் உள்ள இருவருக்கு வெவ்வேறு பயனுறு அணுகல் இருக்கலாம்.

முன்னுரிமையை ஊகிக்காமல் உறுதிப்படுத்துங்கள். show running-config group-policy <name> குழுவின் மதிப்பைக் காட்டுகிறது, show running-config username <name> ஒவ்வொரு பயனருக்கும் மதிப்பு உள்ளதா என்பதைக் காட்டுகிறது. இரண்டும் இருந்தால் பயனர் மதிப்பு வெல்லும். பின்னர் அந்த ACL இன் உள்ளீடுகளை நீங்கள் கவலைப்படும் ஓட்டத்துடன், வடிகட்டி மதிப்பிடும் திசையில் ஒப்பிடுங்கள்.

பயன்பாட்டுச் சேவையகத்தை அனுமதிக்கும் வடிகட்டி நிர்வாகம் பற்றி எதுவும் சொல்லாது. அவை தனி பாதையில் தனி விதிகள்.

ஒரு அனுமதி மற்றும் ஒரு மறுப்பைச் சரிபார்க்கவும்

பயனர் தெரிவிக்கக் காத்திருக்காமல் முடிவைப் பார்க்க வேகமான வழி Packet-tracer. அதற்கு மறைகுறியாக்கம் நீக்கிய பக்க ஓட்டத்தைக் கொடுத்து, அது கடக்கும் ACL, NAT மற்றும் ஆய்வு நிலைகளை பெயரிட விடுங்கள்.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. முடிவு வரியைப் படியுங்கள்: தொகுப்பை அனுமதித்த அல்லது நீக்கிய ACL ஐ அது பெயரிடுகிறது.
  3. inside இடைமுகத்தில் நிர்வாக இலக்குடன் மீண்டும் செய்து மறுப்பை உறுதிப்படுத்துங்கள்.
  4. எந்த மாற்றத்திற்கும் பின் இன்னொரு முறை மீண்டும் செய்யுங்கள், முன் மற்றும் பின் நிலைகள் இரண்டும் பதிவாக.

பின்னர் உண்மையான போக்குவரத்துடன் சரிபார்க்கவும்: கிளையிலிருந்து ஒரு வெற்றிகரமான பயன்பாட்டுக் கோரிக்கை மற்றும் ASA க்கு ஒரு தோல்வியடைந்த SSH முயற்சி. Packet-tracer பாதையை மாதிரியாக்குகிறது; நேரடி ஓட்டம் மாதிரி பொருந்தியதை நிரூபிக்கிறது.

அதை வேலை செய்ய வைத்த மாற்றத்தை மீளச் செய்யுங்கள்

தீர்வு ACL தவிர்ப்பை அணைப்பது அல்லது வடிகட்டியை விரிவாக்குவது என்றால், முந்தைய உள்ளமைவை வைத்திருங்கள். மாற்றத்திற்கு முன் சேமிக்கப்பட்ட பாதிக்கப்பட்ட பொருட்களின் show run பிடிப்பு அவற்றை மீட்டெடுக்க போதுமானது; ASA உள்ளமைவு வரி சார்ந்தது, எனவே மீளச் செய்வது பழைய வரிகளை மீண்டும் உள்ளிடுவது, கோப்பை மீட்டெடுப்பது அல்ல.

இடைமுக ஜோடி, பயனுறு வடிகட்டி, packet-tracer இல் இருந்து ACL பெயர் மற்றும் நீங்கள் மாற்றிய சரியான கட்டளைகளைப் பதிவு செய்யுங்கள். அந்தப் பதிவு அடுத்த மதிப்பாய்வை நம்பிக்கை நிலைகள் பற்றிய இன்னொரு விவாதத்திற்கு பதிலாக ஐந்து நிமிடச் சரிபார்ப்பாக மாற்றுகிறது.

தொடர்புடைய கட்டுரைகள்