సైట్ VPN పని చేస్తోంది, కానీ ASA లాగ్‌లు రావట్లేదు: మూల చిరునామాను తనిఖీ చేయండి

లోపలి హోస్ట్‌లు దూర సేకరణకర్తను చేరుకుంటాయి మరియు వాటి syslog పంక్తులు కనిపిస్తాయి. అదే సెషన్‌ల గురించి ASA యొక్క సొంత సందేశాలు ఎప్పటికీ రావు. సేకరణకర్తలో లేదా టన్నెల్‌లో ఏదీ తప్పు లేదు, అదే గందరగోళపు భాగం. ఫైర్‌వాల్ తన లాగ్‌లను టన్నెల్ ఎప్పటికీ రక్షించడానికి నిర్మించని మూలం నుండి పంపుతోంది.

ఏమి వస్తుంది మరియు ఏమి రాదు

డాష్‌బోర్డ్‌లో ఒకేలా కనిపించే రెండు ప్రవాహాలను వేరు చేయడంతో ప్రారంభించండి. ఫార్వర్డ్ చేసిన ట్రాఫిక్ ASA గుండా వెళుతుంది: LAN హోస్ట్ సేకరణకర్తకు పంపుతుంది, ASA దానిని టన్నెల్ విధానంతో సరిపోల్చి, గుప్తీకరిస్తుంది, సేకరణకర్త హోస్ట్ చిరునామాను చూస్తుంది. సృష్టించిన ట్రాఫిక్ ASA పైనే ప్రారంభమవుతుంది: పరికరం syslog ప్యాకెట్‌ను నిర్మించి, బయటకు వెళ్లే ఇంటర్‌ఫేస్ మరియు మూలాన్ని ఎంచుకుని, ఆ తర్వాతే ఏదైనా టన్నెల్ విధానం సరిపోతుందా అని అడుగుతుంది. మొదటి ప్రవాహం టన్నెల్ పని చేస్తుందని నిరూపిస్తుంది, రెండవ దాని గురించి ఏమీ చెప్పదు.

పరికరంలో బఫర్ చేసిన సంఘటన కూడా దూర పంపిణీకి రుజువు కాదు, ఎందుకంటే లాగ్ స్థానికంగా ఉండి ఎప్పటికీ పంపబడకపోవచ్చు. టన్నెల్‌ను నిందించే ముందు సేకరణకర్త స్వీకరణ కౌంటర్‌లను తనిఖీ చేయండి, ఎందుకంటే ఖాళీ కౌంటర్ పెరుగుతున్న కౌంటర్ కంటే భిన్నమైన కనుగొనడం.

సృష్టించిన సందేశం ఫార్వర్డ్ చేసిన ట్రాఫిక్ కాదు

ASA స్వయంగా ప్యాకెట్‌ను సృష్టించినప్పుడు, అది LAN హోస్ట్‌కు ప్రాక్సీగా పని చేయదు. మూలం బయటకు వెళ్లే ఇంటర్‌ఫేస్ నుండి లేదా స్పష్టమైన మూల సెట్టింగ్ నుండి వస్తుంది, ప్యాకెట్ పరికరం పంపే మిగతా అన్నింటిలాగే అదే మార్గ శోధన మరియు విధాన తనిఖీలలోకి ప్రవేశిస్తుంది. అంటే VPN సెలెక్టర్ ASA నిజంగా ఉపయోగించే చిరునామాను కలిగి ఉండాలి, అది తరచుగా దాని బాహ్య ఇంటర్‌ఫేస్, లోపలి సబ్‌నెట్ కాదు.

విధానం 10.20.0.0/24 ను రక్షిస్తుంది మరియు ASA తన బాహ్య చిరునామాను మూలంగా ఉపయోగిస్తుంది అయితే, లాగ్ ప్యాకెట్ చేరుకోలేని సేకరణకర్త వైపు స్పష్ట పాఠ్యంలో బయటకు వెళుతుంది, లేదా విస్మరించబడుతుంది. సేకరణకర్త వైపు నుండి రెండు ఫలితాలు ఒకేలా కనిపిస్తాయి. అదే తర్కం నిర్వహణ ట్రాఫిక్‌కు కూడా వర్తిస్తుంది, అందుకే management-access ప్రత్యేక రూపకల్పన నిర్ణయం.

ASA నెట్‌వర్క్‌లో ఏ మూలాన్ని పెడుతుంది

మూలాన్ని ఊహతో కాకుండా ప్రయోగంతో కనుగొనండి. పరీక్షా సందేశం సమయంలో బయటకు వెళ్లే ఇంటర్‌ఫేస్‌పై క్యాప్చర్ నిజమైన మూలాన్ని మరియు గమ్యాన్ని చూపుతుంది, అది మూడు కాన్ఫిగరేషన్ విభాగాలను చదవడం కంటే తక్కువ సమయం తీసుకుంటుంది. ఆ చిరునామాను టన్నెల్ యొక్క స్థానిక సెలెక్టర్‌తో పోల్చండి.

కొన్ని విడుదలలు లాగింగ్ మూలాన్ని ఇంటర్‌ఫేస్‌కు పిన్ చేయడానికి అనుమతిస్తాయి, మీ వెర్షన్ కోసం కమాండ్ సూచన ఆ ఎంపిక ఉందా మరియు ఏమి మారుస్తుంది అనేదానికి అధికారం. మరో Cisco ప్లాట్‌ఫారమ్ source-interface కమాండ్ ASA పై స్వయంచాలకంగా చెల్లదు.

మూలాన్ని మార్చినట్లయితే, ఉద్దేశపూర్వకంగా మార్చి నమోదు చేయండి, ఎందుకంటే సేకరణకర్త ACL లు మరియు syslog ఆధారిత ఏ సంబంధమైనా దానిపై ఆధారపడి ఉంటుంది.

సెలెక్టర్‌ను లాగ్ ప్రవాహంతో సరిపోల్చండి

మూలం తెలిసిన తర్వాత మూడు విషయాలను క్రమంగా తనిఖీ చేయండి: ఏ ట్రాఫిక్ ఆసక్తికరమో నిర్ణయించే క్రిప్టో ACL లేదా విధాన ఆధారిత సెలెక్టర్, ప్యాకెట్ ఎక్కడికి వెళుతుందో నిర్ణయించే మార్గం, గుప్తీకరణకు ముందు మూలాన్ని తిరిగి రాయగల ఏ NAT నియమమైనా. మార్గంతో సరిపోయి సెలెక్టర్‌తో సరిపోకపోయే ప్యాకెట్ టన్నెల్ కాదు, NAT తిరిగి రాసిన ప్యాకెట్ రెండింటితోనూ సరిపోకపోవచ్చు.

సేకరణకర్త వైపు దాని సొంత అవసరాలు ఉన్నాయి: ASA మూలాన్ని అనుమతించే ACL, తిరిగి వచ్చే మార్గం, మరియు మీరు కాన్ఫిగర్ చేసిన పోర్ట్‌లో వినే సేవ. రవాణా ఇక్కడ కూడా ముఖ్యం, ఎందుకంటే పాక్షికంగా నిరోధించిన మార్గంలో TCP మరియు TLS లాగింగ్ UDP కంటే భిన్నంగా ప్రవర్తిస్తుంది. ఒకసారి ఒక అంశాన్ని మార్చండి, లేకపోతే తదుపరి క్యాప్చర్ ఏ మార్పు ముఖ్యమో చెప్పదు.

సేకరణకర్త వద్ద నిర్ధారించి, తర్వాత మూలాన్ని నమోదు చేయండి

సందేశం వస్తుందని నిర్ధారించి, తర్వాత ASA ఉపయోగించిన మూల చిరునామా, దాన్ని తీసుకువెళ్లిన సెలెక్టర్, మీరు పరీక్షించిన తీవ్రతను రాయండి.

ఆ నమోదు తదుపరి సేకరణకర్త ACL మార్పును లేదా సెలెక్టర్ సవరణను తిరిగి కనుగొనడం కాకుండా రెండు నిమిషాల తనిఖీగా మారుస్తుంది. రెండు ప్రవాహాలలో ఏది ఎప్పుడైనా ధృవీకరించబడిందో కూడా అది నమోదు చేస్తుంది, చాలా రన్‌బుక్‌లు వదిలేసే భాగం అదే. సందేశం ఇంకా రాకపోతే, తీవ్రత పరిమితిని తాత్కాలికంగా తగ్గించి ఒకే గమ్యం మీద పరీక్షించండి.

Cisco యొక్క ASA లాగింగ్ గురించిన సాధారణ ప్రశ్నలు బాహ్య మూలం ఉన్న సందర్భాన్ని నమోదు చేస్తాయి, దానికి సంబంధిత రక్షిత ట్రాఫిక్ నిర్వచనం అవసరం, వాటి లోపలి మూల ఉదాహరణలో లోపల లాగింగ్ హోస్ట్ మరియు లోపల management-access రెండూ ఉన్నాయి. నమోదు చేసిన కలయిక మరియు సాఫ్ట్‌వేర్ సందర్భాన్ని కలిసి పరిగణించండి, కాపీ చేసిన ఒక పంక్తి ప్రతి కాన్ఫిగరేషన్‌కు సరిపోతుందని ఊహించవద్దు.

LAN ట్రాఫిక్ మోసే టన్నెల్ ఫైర్‌వాల్ యొక్క సొంత స్వరాన్ని మోసే టన్నెల్ కాదు.