ASA தொலை பயனர் சப்நெட்டை அடைந்தும் பயன்பாட்டை அடையாதது ஏன்
வழிகள் சுரங்கப்பாதை வேலை செய்கிறது என்பதை நிரூபிக்கின்றன, பயனர் பயன்பாட்டைத் திறக்கலாம் என்பதை அல்ல. அமர்வு பெற்ற வடிகட்டியைப் படித்து, பின்னர் அனுமதிக்கப்பட்ட மற்றும் மறுக்கப்பட்ட இணைப்பைச் சோதிக்கவும்.
உங்கள் பயனர் இணைகிறார், முகவரி பெறுகிறார், பயன்பாட்டின் சப்நெட்டில் உள்ள சேவையகத்திற்கு பிங் செய்கிறார், இருப்பினும் அதில் உள்ள சேவையைத் திறக்க முடியவில்லை. இந்தக் கலவை ASA-வில் இயல்பானது, ஏனெனில் வெற்றிகரமான சுரங்கப்பாதையும் பயன்படுத்தக்கூடிய அனுமதியும் வெவ்வேறு அமைப்புகளால் தீர்மானிக்கப்படுகின்றன. பிரிந்த சுரங்கப்பாதை பட்டியல் எந்த இடங்கள் சுரங்கப்பாதையில் நுழையும் என்பதைத் தேர்ந்தெடுத்தது; VPN வடிகட்டி மற்றும் இலக்கின் சொந்த அணுகல் விதிகள் மறைகுறியாக்கப்பட்ட கோரிக்கை எதை அடையலாம் என்பதைத் தீர்மானிக்கின்றன. வழி பட்டியலை விரிவாக்குவதற்குப் பதிலாக மூன்று முடிவுகளையும் வரிசையாகக் கையாளுங்கள், ஏதேனும் மாறும் வரை.
குழப்பிக் கொள்ள எளிதான மூன்று முடிவுகள்
அனுமதி பயனர் சுரங்கப்பாதையை உருவாக்க முடியுமா என்பதற்குப் பதிலளிக்கிறது: சான்றுகள், சான்றிதழ் மற்றும் ஏதேனும் இரண்டாம் காரணி. வழித் தேர்வு கிளையண்ட் எந்த இடங்களை அந்தச் சுரங்கப்பாதைக்கு அனுப்புகிறது என்பதற்குப் பதிலளிக்கிறது. அங்கீகாரம் மறைகுறியாக்கப்பட்ட கோரிக்கை சேவையை அடைய முடியுமா என்பதற்குப் பதிலளிக்கிறது. பயனர் தெரிவிக்கும் பிழையை மூன்றாவது மட்டுமே உருவாக்குகிறது.
அவற்றை வேறுபடுத்த விரைவான வழி, ஒரு மாற்றம் எதை உடைக்கும் என்று கேட்பதாகும். பிரிந்த பட்டியலிலிருந்து ஒரு வழியை நீக்கினால் அந்தச் சப்நெட்டுக்கான போக்குவரத்து நிற்கும், ஆனால் எதுவும் வழங்கப்படாது; VPN வடிகட்டியில் ACE சேர்த்தால் கிளையண்ட் சுரங்கப்பாதையில் எதைக் கொண்டு செல்கிறது என்பதை மாற்றாமல் இலக்கு வழங்கப்படும்.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
அமர்வு உண்மையில் பெற்ற வடிகட்டியைப் படியுங்கள்
நீங்கள் நினைக்கும் உள்ளமைவிலிருந்து அல்ல, செயலில் உள்ள அமர்விலிருந்து தொடங்குங்கள். show vpn-sessiondb detail anyconnect ஒதுக்கப்பட்ட குழுக் கொள்கையையும் அந்த அமர்வுடன் இணைக்கப்பட்ட வடிகட்டிப் பெயரையும் அச்சிடுகிறது. இந்தப் புலம் காலியாக இருந்தால், எந்த வடிகட்டியும் எதையும் நடைமுறைப்படுத்தவில்லை, தடுப்பு வேறெங்கிருந்தோ வருகிறது.
பின்னர் மதிப்பைக் கொண்ட கொள்கையை இயல்புநிலைகள் உட்படப் படியுங்கள், ஏனெனில் வடிகட்டி நீங்கள் பார்க்கும் இடத்தில் எழுதப்படாமல் மரபுரிமையாக வரலாம்:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
அமர்வில் உள்ள வடிகட்டிப் பெயரை நீங்கள் இப்போது திருத்திய ACL உடன் ஒப்பிடுங்கள். பயனர் ஒருபோதும் பெறாத ஒத்த பெயரிலான ACL அந்த அமர்வின் வளக் கொள்கையை மாற்ற முடியாது, சரியாகத் தெரியும் மாற்றம் பலனளிக்காததற்கு இதுவே பொதுவான காரணம்.
முன்னுரிமை மீதியை விளக்குகிறது. வடிகட்டி அமைப்பிற்கு, DAP பதிவு பயனர் பெயர் பண்புகளை விட மேலானது, பயனர் பெயர் பண்புகள் குழுக் கொள்கையை விட மேலானவை. ஒரு அமர்வு எதிர்பார்க்காத வடிகட்டியைக் காட்டினால், குழுவைத் தொடுவதற்கு முன் அந்தப் பயனருக்குப் பொருந்தும் DAP கொள்கையைத் தேடுங்கள்.
பிரிந்த பட்டியலும் வடிகட்டியும் தனித்தனி புலங்கள்
ASA 9.x இல் குழுக் கொள்கை split-tunnel-network-list மற்றும் vpn-filter ஆகியவற்றை வெவ்வேறு அமைப்புகளாக வைத்திருக்கிறது, 9.22 குழு-கொள்கை வழிகாட்டி அவற்றைத் தனித்தனியாக ஆவணப்படுத்துவதும் அதே காரணத்திற்காகவே. பிணையப் பட்டியல் கிளையண்டிற்கான வழித்தடக் குறிப்பு; வடிகட்டி மறைகுறியாக்கப்பட்ட போக்குவரத்திற்குப் பயன்படுத்தப்படும் அணுகல் கட்டுப்பாட்டுப் பட்டியல்.
பயனருக்கு ஒரு சப்நெட்டில் ஒரே HTTPS சேவை தேவைப்படும்போது இந்த வேறுபாடு முக்கியம். பாக்கெட்டுகள் சுரங்கப்பாதையில் நுழைய சப்நெட்டைப் பிரிந்த பட்டியலில் வையுங்கள், பின்னர் வடிகட்டியில் அந்தச் சேவைக்கு மட்டும் அனுமதி வழங்குங்கள். வழிப் பட்டியலை விரிவாக்குவது எதையும் அங்கீகரிக்காது, அதைக் குறைப்பது அமலாக்க வழிமுறை அல்ல.
இடைமுக ACL பாதையில் உள்ளதா என்று சரிபாருங்கள்
மறைகுறியாக்கப்பட்ட தொலை அணுகல் போக்குவரத்து மக்கள் கருதுவது போல எப்போதும் வெளி இடைமுக ACL வழியாகச் செல்வதில்லை. sysopt connection permit-vpn இயக்கப்பட்டிருந்தால், ASA அந்தப் போக்குவரத்திற்குத் தனது ஆவணப்படுத்தப்பட்ட VPN தவிர்ப்பைப் பயன்படுத்துகிறது, அதே நேரத்தில் பொருந்தும் VPN வடிகட்டிகள் அதன் பின்னரும் செல்லுபடியாகும். அமைப்பை show run all sysopt மூலம் சரிபார்க்கவும், இடவியல் வரைபடத்திலிருந்து ஊகிப்பதற்குப் பதிலாக.
எப்படியிருந்தாலும், இலக்கு புரவலனின் சொந்த ஃபயர்வால் மற்றும் பயன்பாட்டின் அங்கீகாரம் பாதையில் இருக்கும். TCP 443 ஐ அனுமதிக்கும் ASA விதி பயன்பாட்டைப் பயனரை ஏற்கச் செய்யாது.
மறுக்கப்பட்ட இணைப்புடனும் மாற்றத்தை ஏற்றுக்கொள்ளுங்கள்
அனுமதிக்கப்பட்ட சோதனை மட்டும் மிகக் குறைவாகவே நிரூபிக்கிறது, ஏனெனில் வடிகட்டி இருந்தாலும் இல்லாவிட்டாலும் செயல்படும் சுரங்கப்பாதை அதே முதல் பாக்கெட்டை உருவாக்குகிறது. கிளையண்டிலிருந்து நோக்கமிட்ட சேவையைத் திறந்து, பின்னர் மூடியே இருக்க வேண்டிய இலக்கை முயற்சித்து அது சரியான காரணத்தால் தோல்வியடைவதை உறுதிசெய்யுங்கள்.
டிக்கெட்டை மூடும்போது நான்கு உண்மைகளைப் பதிவு செய்யுங்கள்: ஏற்கப்பட்ட அடையாளம், அமர்வு உண்மையில் பெற்ற கொள்கையும் வடிகட்டியும், பிரிந்த பட்டியலில் உள்ள இலக்குகள், பயனர் அடைய அனுமதிக்கப்பட்ட வளம். இந்த நான்கும் வழிப் பட்டியலை ஃபயர்வாலாக மாற்றாமல் போக்குவரத்து எங்கு கட்டுப்படுத்தப்படுகிறது என்பதை விளக்குகின்றன.
வடிகட்டி அனுமதித்த பின்னரும் சேவை மறுத்தால், புரவலனுக்குச் செல்லுங்கள்: கேட்கும் முகவரி, புரவலன் ஃபயர்வால் மற்றும் பயன்பாட்டின் சொந்தப் பயனர் வரைபடம். அந்த நேரத்தில் சுரங்கப்பாதை தனது பணியைச் செய்தது, ASA-வில் மேலும் மாற்றங்கள் ஆபத்தை மட்டுமே சேர்க்கின்றன.