VPN డీక్రిప్ట్ చేసిన తర్వాత ఏ ASA నియమం ట్రాఫిక్‌ను చూస్తుంది

మొదట వదిలివేయాల్సిన ఊహ ఏమిటంటే క్రిప్టో ACL ఒక యాక్సెస్ విధానం. అది కాదు. Cisco ASAలో ఆ జాబితా ఒక సన్నని ప్రశ్నకు సమాధానమిస్తుంది: ఏ ప్యాకెట్లు రక్షణకు అర్హమైనవి, మరియు ఆ సమాధానం డీక్రిప్ట్ అయిన ప్యాకెట్ ఫైర్‌వాల్ వెనుక సర్వర్‌ను చేరుకోగలదా అనే దానిపై ఏమీ చెప్పదు. యాక్సెస్ తర్వాత నిర్ణయించబడుతుంది — ఇంటర్‌ఫేస్ విధానం, గ్రూప్-పాలసీ ఫిల్టర్, లేదా రెండూ ద్వారా, టన్నెల్ ఎలా నిర్మించబడిందనే దానిపై ఆధారపడి.

క్రిప్టో ACL వేరే ప్రశ్నకు సమాధానమిస్తుంది

క్రిప్టో ACL ఒక మ్యాచ్ జాబితా. రెండు వైపుల మధ్య ఏది ఎన్‌క్రిప్ట్ చేయాలో టన్నెల్‌కు చెబుతుంది; దానితో సరిపోలని ప్యాకెట్ కేవలం రక్షించబడదు. దానిని విస్తరించడం రక్షణ పరిధిని మారుస్తుంది, మరేమీ కాదు.

అందుకే అక్కడ సబ్‌నెట్ జోడించడం టన్నెల్‌ను పైకి తీసుకురావచ్చు, కానీ నిజమైన అప్లికేషన్ ఇంకా విఫలమవుతుంది. టన్నెల్ పైన ఉంది ఎందుకంటే ఇప్పుడు మ్యాచ్ ఉంది. అప్లికేషన్ విఫలమవుతోంది ఎందుకంటే ఆ జాబితాలో ఏదీ ఏదానికీ అనుమతి ఇవ్వదు. రెండు వేరే ప్రశ్నలు, రెండు వేరే జాబితాలు.

బైపాస్ సెట్టింగ్ నిజంగా ఏమి దాటవేస్తుంది

sysopt connection permit-vpn రక్షిత ట్రాఫిక్‌ను ఇన్‌బౌండ్ వైపు లేకపోతే వర్తించే ఇంటర్‌ఫేస్ ACL తనిఖీని దాటవేయనిస్తుంది. ఇది VPN అమరికలకు సౌలభ్యం, మరియు ఇది ప్రపంచవ్యాప్తం. ఇది గ్రూప్ పాలసీని తాకదు, ప్రతి-వినియోగదారు అనుమతి ఫిల్టర్‌ను కూడా తాకదు.

ఊహకు బదులు నిజమైన విలువను చదవండి: show running-config all sysopt సెట్టింగ్‌ను ఎప్పుడూ స్పష్టంగా కాన్ఫిగర్ చేయనప్పటికీ ముద్రిస్తుంది, చాలా గందరగోళం అక్కడి నుంచే మొదలవుతుంది.

సెట్టింగ్ ప్రపంచవ్యాప్తం కాబట్టి, విఫలమవుతున్న ఒకే సబ్‌నెట్‌పై త్వరిత ప్రయోగంగా పరీక్షించడం చెడు మార్పిడి. ఆ ఫైర్‌వాల్‌లోని ప్రతి ఇతర టన్నెల్ ఫలితాన్ని పంచుకుంటుంది. రోల్‌బ్యాక్ ప్రణాళికతో కూడిన ఉద్దేశపూర్వక మార్పు కోసం దానిని ఉంచండి.

డీక్రిప్ట్ దిశలో ఫిల్టర్ చదవండి

LAN-to-LAN vpn-filter ఇంటర్‌ఫేస్ దృష్టికోణం నుంచి కాదు, టన్నెల్ దృష్టికోణం నుంచి రాయబడుతుంది. డీక్రిప్ట్ తర్వాత ప్యాకెట్ అలా కనిపిస్తుంది కాబట్టి రిమోట్ నెట్‌వర్క్ మూల స్థానంలో, లోకల్ నెట్‌వర్క్ గమ్య స్థానంలో వస్తాయి. తర్వాత అదే ఫిల్టర్ ఎన్‌క్రిప్షన్‌కు ముందు వ్యతిరేక దిశలో మళ్లీ మూల్యాంకనం చేయబడుతుంది, చిరునామాల పాత్రలు తిరగబడతాయి.

పోర్ట్ షరతులు కాపీ చేసిన ఇంటర్‌ఫేస్ ACL కంటే ఎక్కువ శ్రద్ధ అవసరం, అదే కారణంతో. ఒక గమ్య పోర్ట్‌ను అనుమతించే నియమం వ్యతిరేక దిశలో అనుకోని ప్రభావం చూపవచ్చు, అక్కడ కొత్త కనెక్షన్ ఆ పోర్ట్‌ను తన మూలంగా ఉపయోగిస్తుంది. జాబితా నిర్మించే ముందు ఏ వైపు ప్రారంభించవచ్చో, నిజమైన సేవ ఏమిటో, ఏ ప్రతివైపు మూసి ఉండాలో రాయండి.

ఏ ఫిల్టర్ నిజంగా జోడించబడిందో నిర్ధారించండి: show running-config group-policy మరియు show vpn-sessiondb detail l2l కలిసి సెషన్ ఏమి వారసత్వంగా పొందిందో చెబుతాయి. ఏ విధానం సూచించని ACL ను సవరించడం ఏమీ మార్చదు.

ఒక ACL వస్తువును రెండు పనులకు పునర్వినియోగించవద్దు

ఇంటర్‌ఫేస్ access-group మరియు vpn-filter ఒకే రకమైన వస్తువులా కనిపిస్తాయి, కానీ వేరే బిందువుల్లో వేరే చిరునామా దిశతో మూల్యాంకనం చేయబడతాయి. ఒక జాబితాను రెండింటికీ ఇవ్వడం టన్నెల్‌ను బాగుచేసి భౌతిక ఇంటర్‌ఫేస్‌ను నిశ్శబ్దంగా వదులుతుంది.

వాటిని వేరుగా ఉంచండి, వాటి పని ప్రకారం పేరు పెట్టండి, దిశ భేదం పేర్లలో కనిపించేలా చేయండి.

కొత్త కనెక్షన్లతో, రెండు దిశల్లోనూ ధృవీకరించండి

ప్రణాళికాబద్ధమైన మార్పు తర్వాత, అనుమతించాల్సిన ఒక కొత్త కనెక్షన్ మరియు తిరస్కరించాల్సిన ఒక కొత్త కనెక్షన్ తెరవండి, తర్వాత చిరునామాలు, దిశ మరియు విధాన సరిపోలికను ఫలితంతో పాటు నమోదు చేయండి. స్థిరపడిన సెషన్ కొత్త-కనెక్షన్ ఫిల్టరింగ్ గురించి ఏమీ నిరూపించదు, ఎందుకంటే అది పాత నియమాల కింద ఇప్పటికే అనుమతించబడింది.

పరిశీలనను కూడా లెక్కించండి. విక్రేత పత్రాలు VPN ఫిల్టర్ ప్రారంభ కనెక్షన్‌ను తనిఖీ చేస్తుందని, పరిశీలన ఇంజిన్ తెరిచే ప్రతి ద్వితీయ కనెక్షన్‌ను కాదని పేర్కొంటాయి, కాబట్టి నియంత్రణ ఛానెల్ మరియు దానికి సంబంధించిన మీడియా ప్రవాహం వేరే విధంగా పరిగణించబడవచ్చు. అప్లికేషన్ ప్రోటోకాల్‌ను తెలిస్తే, ఒకే పోర్ట్ ప్రోబ్‌కు బదులు నిజమైన ప్రవాహాన్ని పరీక్షించండి.

విస్తృత బైపాస్ తర్వాత ఉపయోగించదగినదిగా మారే టన్నెల్ పరిమితి తొలగించబడిందని చెబుతుంది, అది నెరవేరిందని కాదు. నిలుపుకోదగిన ఫలితం తదుపరి సమీక్షలో చూపగలిగే పేరున్న అమలు బిందువు.