ASA రిమోట్ వినియోగదారు సబ్నెట్‌కు చేరుకున్నా యాప్‌కు ఎందుకు చేరుకోలేరు
మార్గాలు టన్నెల్ పని చేస్తుందని నిరూపిస్తాయి, వినియోగదారు యాప్‌ను తెరవగలరని కాదు. సెషన్ పొందిన ఫిల్టర్‌ను చదవండి, ఆపై అనుమతించిన మరియు తిరస్కరించిన కనెక్షన్‌ను పరీక్షించండి.
మీ వినియోగదారు కనెక్ట్ అవుతారు, చిరునామా పొందుతారు, యాప్ సబ్నెట్‌లోని సర్వర్‌కు పింగ్ చేస్తారు, అయినా దానిపై ఉన్న సేవను తెరవలేరు. ఈ కలయిక ASAలో సాధారణం, ఎందుకంటే విజయవంతమైన టన్నెల్ మరియు ఉపయోగించదగిన అనుమతి వేర్వేరు సెట్టింగ్‌ల ద్వారా నిర్ణయించబడతాయి. స్ప్లిట్-టన్నెల్ జాబితా ఏ గమ్యస్థానాలు టన్నెల్‌లోకి ప్రవేశిస్తాయో ఎంచుకుంది; VPN ఫిల్టర్ మరియు గమ్యస్థానం యొక్క స్వంత యాక్సెస్ నియమాలు డీక్రిప్ట్ చేసిన అభ్యర్థన ఏమి చేరుకోగలదో నిర్ణయిస్తాయి. మార్గాల జాబితాను విస్తరించే బదులు మూడు నిర్ణయాలను క్రమంగా పరిశీలించండి, ఏదైనా మారే వరకు.
గందరగోళపరచుకోవడం సులభమైన మూడు నిర్ణయాలు
ప్రవేశం వినియోగదారు టన్నెల్‌ను నిర్మించగలరా అని సమాధానం ఇస్తుంది: ఆధారాలు, ధృవపత్రం మరియు ఏదైనా రెండవ కారకం. మార్గ ఎంపిక క్లయింట్ ఏ గమ్యస్థానాలను ఆ టన్నెల్‌కు పంపుతుందో సమాధానం ఇస్తుంది. అధికారం డీక్రిప్ట్ చేసిన అభ్యర్థన సేవను చేరుకోగలదా అని సమాధానం ఇస్తుంది. వినియోగదారు నివేదించే లోపాన్ని మూడవది మాత్రమే సృష్టిస్తుంది.
వాటిని వేరు చేసుకోవడానికి వేగవంతమైన మార్గం, మార్పు ఏమి విరుస్తుందో అడగడం. స్ప్లిట్ జాబితా నుండి మార్గాన్ని తీసివేస్తే ఆ సబ్నెట్‌కు ట్రాఫిక్ ఆగిపోతుంది కానీ ఏమీ ఇవ్వదు; VPN ఫిల్టర్‌కు ACE జోడిస్తే క్లయింట్ టన్నెల్‌లో ఏమి తీసుకెళ్తుందో మార్చకుండా గమ్యస్థానం ఇవ్వబడుతుంది.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
సెషన్ నిజంగా పొందిన ఫిల్టర్‌ను చదవండి
మీరు అనుకునే కాన్ఫిగరేషన్ నుండి కాదు, ప్రత్యక్ష సెషన్ నుండి ప్రారంభించండి. show vpn-sessiondb detail anyconnect కేటాయించిన గ్రూప్ పాలసీని మరియు ఆ సెషన్‌తో అనుసంధానించిన ఫిల్టర్ పేరును ముద్రిస్తుంది. ఈ ఫీల్డ్ ఖాళీగా ఉంటే, ఏ ఫిల్టర్ ఏదీ అమలు చేయడం లేదు మరియు నిరోధం మరెక్కడి నుండో వస్తోంది.
తర్వాత విలువను కలిగి ఉన్న పాలసీని డిఫాల్ట్‌లతో సహా చదవండి, ఎందుకంటే ఫిల్టర్ మీరు చూస్తున్న చోట వ్రాయబడకుండా వారసత్వంగా రావచ్చు:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
సెషన్‌లోని ఫిల్టర్ పేరును మీరు ఇప్పుడే సవరించిన ACLతో పోల్చండి. వినియోగదారు ఎప్పుడూ పొందని ఇలాంటి పేరు గల ACL ఆ సెషన్ యొక్క వనరు పాలసీని మార్చలేదు, మరియు సరిగ్గా కనిపించే మార్పు ప్రభావం లేకపోవడానికి ఇదే అత్యంత సాధారణ కారణం.
ప్రాధాన్యత మిగతాది వివరిస్తుంది. ఫిల్టర్ సెట్టింగ్‌కు, DAP రికార్డు వినియోగదారు పేరు లక్షణాల కంటే పైన ఉంటుంది, వినియోగదారు పేరు లక్షణాలు గ్రూప్ పాలసీ కంటే పైన ఉంటాయి. సెషన్ ఊహించని ఫిల్టర్‌ను చూపిస్తే, గ్రూపును తాకే ముందు ఆ వినియోగదారుకు సరిపోయే DAP పాలసీని వెతకండి.
స్ప్లిట్ జాబితా మరియు ఫిల్టర్ వేర్వేరు ఫీల్డ్‌లు
ASA 9.xలో గ్రూప్ పాలసీ split-tunnel-network-list మరియు vpn-filter లను వేర్వేరు సెట్టింగ్‌లుగా ఉంచుతుంది, మరియు 9.22 గ్రూప్-పాలసీ మార్గదర్శిని అదే కారణంతో వాటిని విడిగా నమోదు చేస్తుంది. నెట్‌వర్క్ జాబితా క్లయింట్‌కు మార్గ సూచన; ఫిల్టర్ డీక్రిప్ట్ చేసిన ట్రాఫిక్‌పై వర్తించే యాక్సెస్ నియంత్రణ జాబితా.
వినియోగదారుకు సబ్నెట్‌లో ఒకే HTTPS సేవ అవసరమైనప్పుడు ఈ భేదం ముఖ్యం. ప్యాకెట్లు టన్నెల్‌లోకి ప్రవేశించడానికి సబ్నెట్‌ను స్ప్లిట్ జాబితాలో పెట్టండి, తర్వాత ఫిల్టర్‌లో ఆ సేవకు మాత్రమే అనుమతి ఇవ్వండి. మార్గాల జాబితాను విస్తరించడం ఏదీ అధికారం ఇవ్వదు, దాన్ని తగ్గించడం అమలు యంత్రాంగం కాదు.
ఇంటర్‌ఫేస్ ACL కూడా మార్గంలో ఉందో లేదో తనిఖీ చేయండి
డీక్రిప్ట్ చేసిన రిమోట్ యాక్సెస్ ట్రాఫిక్ ప్రజలు ఊహించినట్లు ఎప్పుడూ బయటి ఇంటర్‌ఫేస్ ACL గుండా వెళ్లదు. sysopt connection permit-vpn ప్రారంభించబడిన చోట, ASA ఆ ట్రాఫిక్‌కు తన నమోదిత VPN బైపాస్‌ను వర్తిస్తుంది, అయితే వర్తించే VPN ఫిల్టర్లు ఆ తర్వాత కూడా వర్తిస్తాయి. సెట్టింగ్‌ను show run all sysopt తో తనిఖీ చేయండి, టోపాలజీ రేఖాచిత్రం నుండి వాదించే బదులు.
ఏదేమైనా, గమ్యస్థాన హోస్ట్ యొక్క స్వంత ఫైర్‌వాల్ మరియు యాప్ యొక్క అధికారం మార్గంలోనే ఉంటాయి. TCP 443కు అనుమతించే ASA నియమం యాప్ వినియోగదారుని అంగీకరించేలా చేయదు.
తిరస్కరించిన కనెక్షన్‌తో కూడా మార్పును అంగీకరించండి
అనుమతించిన పరీక్ష మాత్రమే బహు కొద్దిగా నిరూపిస్తుంది, ఎందుకంటే ఫిల్టర్ ఉన్నా లేకున్నా పనిచేసే టన్నెల్ అదే మొదటి ప్యాకెట్‌ను ఉత్పత్తి చేస్తుంది. క్లయింట్ నుండి ఉద్దేశించిన సేవను తెరవండి, తర్వాత మూసివేయబడాల్సిన గమ్యస్థానాన్ని ప్రయత్నించి అది సరైన కారణంతో విఫలమవుతుందని నిర్ధారించండి.
టికెట్ మూసివేసేటప్పుడు నాలుగు వాస్తవాలను నమోదు చేయండి: అంగీకరించిన గుర్తింపు, సెషన్ నిజంగా పొందిన పాలసీ మరియు ఫిల్టర్, స్ప్లిట్ జాబితాలోని గమ్యస్థానాలు, మరియు వినియోగదారు చేరుకోవడానికి అనుమతించిన వనరు. ఈ నాలుగు మార్గాల జాబితాను ఫైర్‌వాల్‌గా మార్చకుండా ట్రాఫిక్ ఎక్కడ నియంత్రించబడుతుందో వివరిస్తాయి.
ఫిల్టర్ అనుమతి ఇచ్చిన తర్వాత కూడా సేవ తిరస్కరిస్తే, హోస్ట్‌కు వెళ్లండి: వినిపించే చిరునామా, హోస్ట్ ఫైర్‌వాల్ మరియు యాప్ యొక్క స్వంత వినియోగదారు మ్యాపింగ్. ఆ సమయంలో టన్నెల్ తన పని చేసింది, ASAలో మరిన్ని మార్పులు ప్రమాదాన్ని మాత్రమే జోడిస్తాయి.