VPN సబ్‌నెట్ ASA ఇంటర్‌ఫేస్ భద్రతా స్థాయిని పొందుతుందా?

బ్రాంచ్ VPN సబ్‌నెట్ ASAలో «భద్రతా స్థాయి 0 లేదా 100» కలిగి ఉందా అని ఎవరో అడుగుతారు, ప్రశ్నలో ఇప్పటికే తప్పు ఉంది. భద్రతా స్థాయి అనేది స్థానిక ఇంటర్‌ఫేస్ లక్షణం, ఇంటర్‌ఫేస్ కాన్ఫిగరేషన్‌లో 0 నుండి 100 వరకు కేటాయించబడుతుంది. టన్నెల్ ద్వారా వచ్చే దూరపు సబ్‌నెట్ ఏ స్థాయినీ పొందదు, crypto map ఎలా రాసినా సరే. అందుకే ప్రశ్నకు సంఖ్యాత్మక సమాధానం లేదు.

ఆచరణాత్మక తదుపరి ప్రశ్న మంచిది: ఏ విధానం బ్రాంచ్‌ను సర్వర్‌కు అనుమతిస్తుంది, ఏది దాన్ని ఫైర్‌వాల్ నుండే దూరంగా ఉంచుతుంది. అవి రెండు సమాధానాలు, క్రింది విధానం వాటిని వేరు చేస్తుంది.

భద్రతా స్థాయిలు ఇంటర్‌ఫేస్‌లకు చెందుతాయి

show running-config interface అమలు చేయండి, ప్రతి భౌతిక ఇంటర్‌ఫేస్ లేదా VLAN ఇంటర్‌ఫేస్ కింద security-level కనిపిస్తుంది, టన్నెల్ గ్రూప్ లేదా crypto map కింద కాదు. ఎక్కువ నుండి తక్కువకు డిఫాల్ట్ అనుమతి ఆ ఇంటర్‌ఫేస్‌ల మధ్య మూల్యాంకనం చేయబడుతుంది, అందుకే సంఖ్య తనకు చెందిన మార్గంలో తనిఖీ మరియు అంతర్లీన ACL ప్రవర్తనను మారుస్తుంది.

డీక్రిప్ట్ చేసిన VPN ప్రవాహానికి, ప్రవేశం ఇప్పటికీ టన్నెల్ ముగిసే outside ఇంటర్‌ఫేస్, నిష్క్రమణ సర్వర్ వైపు inside ఇంటర్‌ఫేస్. ఏదైనా తాకే ముందు రెండింటినీ రాయండి. ఆ ఒక అడుగు చాలా గందరగోళాన్ని తొలగిస్తుంది, ఎందుకంటే అది అమూర్తమైన నమ్మక ప్రశ్నను ఇంటర్‌ఫేస్ జోడీగా మారుస్తుంది.

ACL బైపాస్‌కు పేరు పెట్టిన సరిహద్దు ఉంది

VPN ట్రాఫిక్ ACLలను పట్టించుకోదు అని చెప్పేటప్పుడు ప్రజలు సగం గుర్తుంచుకునే సెట్టింగ్ sysopt connection permit-vpn. ఇది VPN ట్రాఫిక్‌గా అర్హత పొందే ట్రాఫిక్‌కు ఇంటర్‌ఫేస్ ACLను నిజంగా దాటిస్తుంది, 9.x పరామితి మార్గదర్శిని దాన్ని ప్రపంచ మినహాయింపుగా ప్రకటించకుండా ఇంటర్‌ఫేస్ మరియు దిశ ప్రకారం పరిమితం చేస్తుంది.

జ్ఞాపకం నుండి వాదించే ముందు ఏమి కాన్ఫిగర్ చేయబడిందో తనిఖీ చేయండి:

• show running-config all sysopt నిజమైన విలువను చూడటానికి, డిఫాల్ట్ కాని పంక్తులు మాత్రమే కాదు.
• show running-config access-group ఏ ACL ఏ ఇంటర్‌ఫేస్ మరియు దిశకు వర్తించబడిందో చూడటానికి.
• show vpn-sessiondb detail l2l సెషన్ నిజంగా ఏ టన్నెల్ గ్రూప్ మరియు ఫిల్టర్‌ను ఉపయోగిస్తుందో నిర్ధారించడానికి.

VPN యాక్సెస్‌ను కఠినతరం చేయడానికి ఆ సెట్టింగ్‌ను ఆఫ్ చేయడం పెద్ద ప్రభావం ఉన్న మార్పు. ఇది ప్రతి అర్హత ఉన్న VPN ప్రవాహాన్ని మళ్లీ బయటి ACLకు లోబడి ఉంచుతుంది, ఇది సాధారణంగా పని చేస్తున్న టన్నెల్లను మీరు అడిగిన బ్రాంచ్‌కు సంబంధం లేని విధంగా విచ్ఛిన్నం చేస్తుంది.

సెషన్‌కు జోడించిన ఫిల్టర్‌ను చదవండి

ప్రతి టన్నెల్‌కు నిజమైన నియంత్రణ VPN ఫిల్టర్: గ్రూప్ విధానం లేదా వినియోగదారు పేరు సూచించే ACL, డీక్రిప్షన్ తర్వాత మరియు ఎన్‌క్రిప్షన్ ముందు వర్తించబడుతుంది. వినియోగదారు స్థాయి ఫిల్టర్ గ్రూప్ స్థాయి విలువను భర్తీ చేస్తుంది, కాబట్టి ఒకే టన్నెల్ గ్రూప్‌లోని ఇద్దరికి వేర్వేరు ప్రభావవంతమైన యాక్సెస్ ఉండవచ్చు.

ప్రాధాన్యతను ఊహించకుండా నిర్ధారించండి. show running-config group-policy <name> గ్రూప్ విలువను చూపిస్తుంది, show running-config username <name> ప్రతి వినియోగదారు విలువ ఉందా అని చూపిస్తుంది. రెండూ ఉంటే వినియోగదారు విలువ గెలుస్తుంది. తర్వాత ఆ ACL నమోదులను మీకు ముఖ్యమైన ప్రవాహంతో, ఫిల్టర్ మూల్యాంకనం చేసే దిశలో పోల్చండి.

అప్లికేషన్ సర్వర్‌ను అనుమతించే ఫిల్టర్ నిర్వహణ గురించి ఏమీ చెప్పదు. అవి వేరే మార్గంలో వేరే నియమాలు.

ఒక అనుమతి మరియు ఒక నిరాకరణను ధృవీకరించండి

వినియోగదారు నివేదించే వరకు వేచి ఉండకుండా నిర్ణయాన్ని చూడటానికి వేగవంతమైన మార్గం Packet-tracer. దానికి డీక్రిప్ట్ వైపు ప్రవాహాన్ని ఇవ్వండి, అది దాటే ACL, NAT మరియు తనిఖీ దశలను పేర్కొననివ్వండి.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. ఫలిత పంక్తిని చదవండి: ప్యాకెట్‌ను అనుమతించిన లేదా పడవేసిన ACLను అది పేర్కొంటుంది.
3. inside ఇంటర్‌ఫేస్‌లో నిర్వహణ గమ్యంతో పునరావృతం చేయండి మరియు నిరాకరణను నిర్ధారించండి.
4. ఏదైనా మార్పు తర్వాత మరోసారి పునరావృతం చేయండి, ముందు మరియు తర్వాత రెండు స్థితులు నమోదు కావడానికి.

తర్వాత నిజమైన ట్రాఫిక్‌తో ధృవీకరించండి: బ్రాంచ్ నుండి ఒక విజయవంతమైన అప్లికేషన్ అభ్యర్థన మరియు ASAకి ఒక విఫలమైన SSH ప్రయత్నం. Packet-tracer మార్గాన్ని నమూనా చేస్తుంది; సజీవ ప్రవాహం నమూనా సరిపోలిందని నిరూపిస్తుంది.

దాన్ని పని చేయించిన మార్పును వెనక్కి తీసుకోండి

పరిష్కారం ACL బైపాస్‌ను ఆఫ్ చేయడం లేదా ఫిల్టర్‌ను విస్తరించడం అయితే, మునుపటి కాన్ఫిగరేషన్ ఉంచండి. మార్పుకు ముందు సేవ్ చేసిన ప్రభావిత వస్తువుల show run క్యాప్చర్ వాటిని పునరుద్ధరించడానికి సరిపోతుంది; ASA కాన్ఫిగరేషన్ పంక్తి-కేంద్రితం, కాబట్టి వెనక్కి తీసుకోవడం అంటే పాత పంక్తులను మళ్లీ నమోదు చేయడం, ఫైల్‌ను పునరుద్ధరించడం కాదు.

ఇంటర్‌ఫేస్ జోడీ, ప్రభావవంతమైన ఫిల్టర్, packet-tracer నుండి ACL పేరు మరియు మీరు మార్చిన ఖచ్చితమైన ఆదేశాలను నమోదు చేయండి. ఆ నమోదు తదుపరి సమీక్షను నమ్మక స్థాయిల గురించి మరో చర్చకు బదులుగా ఐదు నిమిషాల తనిఖీగా మారుస్తుంది.