ทำไมคำขอ TACACS+ ของ ASA เองถึงข้ามอุโมงค์ VPN ของสาขาคุณ

อุโมงค์สาขาทำงานอยู่ ผู้ใช้พิสูจน์ตัวตนกับเซิร์ฟเวอร์ TACACS+ ระยะไกล และการเข้าสู่ระบบของไฟร์วอลล์เองยังคงหมดเวลา เหตุผลไม่ใช่ข้อบกพร่องในอุโมงค์: อุโมงค์ LAN-to-LAN ส่งผ่านทราฟฟิกที่ตรงกับตัวเลือกของมัน และทราฟฟิกการจัดการที่ ASA สร้างเกี่ยวกับตัวเองเป็นกระแสแยกที่มีที่อยู่ต้นทางของตัวเอง ทีมส่วนใหญ่ค้นพบสิ่งนี้ระหว่างช่วงเวลาเปลี่ยนผ่าน เมื่อบัญชีผู้ดูแลระบบเพียงบัญชีเดียวคือบัญชีที่ล้มเหลว มองเซสชัน AAA ที่ ASA เริ่มต้นเป็นกระแสที่คุณต้องออกแบบ ไม่ใช่ผลข้างเคียงของการเชื่อมต่อที่ทำงานอยู่แล้ว

ASA คือไคลเอนต์ และทราฟฟิกของมันเองต้องมีเส้นทางของตัวเอง

เมื่อไฟร์วอลล์ติดต่อเซิร์ฟเวอร์ TACACS+ ไฟร์วอลล์เป็นไคลเอนต์เหมือนไคลเอนต์อื่น ๆ ยกเว้นว่าไม่มีใครกำหนดเส้นทางให้มันโดยเจตนา แพ็กเก็ตของมันเกิดจากที่อยู่อินเทอร์เฟซบนอุปกรณ์ ถูกสร้างขึ้นในเครื่องแทนที่จะส่งต่อ และต้องถูกกำหนดเส้นทาง แปล และป้องกันด้วยนโยบายเหมือนทราฟฟิกของผู้ใช้ อุโมงค์ระหว่างไซต์ที่ป้องกันซับเน็ตของผู้ใช้ไม่ได้ป้องกันต้นทางการจัดการนั้นโดยอัตโนมัติ เพราะการเลือกทราฟฟิกอิงที่อยู่ไม่ใช่เจตนา

จดที่อยู่ที่คุณคาดว่าเซิร์ฟเวอร์จะเห็น หากคุณไม่สามารถระบุได้ในบรรทัดเดียว คุณยังไม่มีดีไซน์

อินเทอร์เฟซในบรรทัด aaa-server ไม่ใช่ของประดับ

บน ASA รายการโฮสต์ aaa-server รับการเชื่อมโยงอินเทอร์เฟซในวงเล็บ และ เอกสารอ้างอิงคำสั่งโฮสต์ AAA ของ Cisco อธิบายว่าเป็นอินเทอร์เฟซที่เซิร์ฟเวอร์พิสูจน์ตัวตนตั้งอยู่ การเชื่อมโยงนั้นคือสิ่งที่ผูกคำขอกับอินเทอร์เฟซและกับนโยบายที่อินเทอร์เฟซนั้นใช้ การเลือกตามอินเทอร์เฟซใดก็ตามที่หันออกสู่อินเทอร์เน็ต หรือปล่อยสิ่งที่เหลือจากการย้ายครั้งล่าสุดไว้ จะสร้างที่อยู่ต้นทางที่เซิร์ฟเวอร์ระยะไกลและอุโมงค์ไม่เคยถูกสร้างมารองรับ

inside เป็นคำตอบที่ถูกต้องเฉพาะเมื่ออินเทอร์เฟซที่ระบุถือที่อยู่ที่ดีไซน์ของคุณตั้งใจจะใช้เป็นต้นทาง บนอุปกรณ์สาขามักเป็นเช่นนั้น บนอุปกรณ์ที่มีหลายเซกเมนต์ส่วนตัวอาจไม่ใช่

การเปลี่ยนการเชื่อมโยงหมายถึงการสร้างรายการใหม่

เอกสารอ้างอิงคำสั่งเดียวกันบันทึกข้อจำกัดการแก้ไขที่ทำให้ผู้คนติดกับในช่วงเปลี่ยนผ่าน: การเปลี่ยนอินเทอร์เฟซบนโฮสต์ที่มีอยู่ต้องลบและสร้างรายการโฮสต์ใหม่ การกำหนดค่าที่ดูเหมือนแก้ไขแล้วอาจยังไม่มีผล และความพยายามเข้าสู่ระบบครั้งถัดไปยังคงออกจากที่อยู่เดิม วางแผนเป็นลบแล้วเพิ่มโดยมีสำเนารายการต้นฉบับอยู่ตรงหน้า ไม่ใช่การแก้ไขในที่เดิม

หากกำหนดเซิร์ฟเวอร์หลายตัว ให้เปลี่ยนหนึ่งตัวและทดสอบก่อนแตะตัวอื่น เพื่อให้ข้อผิดพลาดไม่ล็อกเส้นทางการจัดการทั้งหมดพร้อมกัน

ตรวจสอบตัวเลือก การแปล และเส้นทางกลับไปพร้อมกัน

สามสิ่งต้องสอดคล้องกันเพื่อให้คำขอไปถึง ตัวเลือกทราฟฟิกของอุโมงค์ หรือการป้องกันอินเทอร์เฟซอุโมงค์หากคุณใช้ ต้องรวมต้นทางของ ASA เองและที่อยู่ของเซิร์ฟเวอร์ รายการตัวเลือกที่สร้างสำหรับซับเน็ตผู้ใช้มักไม่รวม กฎ NAT ใด ๆ บนเส้นทางต้องแปลต้นทางนั้นอย่างสม่ำเสมอ เพราะเซิร์ฟเวอร์อนุญาตอัตลักษณ์อุปกรณ์เครือข่ายที่รวมที่อยู่ที่มันเห็น และเส้นทางกลับต้องมีอยู่ ซึ่งในอุโมงค์ที่อิงนโยบายหมายความว่าปลายทางไกลมีตัวเลือกที่ตรงกันในทิศทางตรงข้าม

ฝั่งเซิร์ฟเวอร์ ยืนยันอัตลักษณ์อุปกรณ์ ความลับที่ใช้ร่วมกัน และนโยบายการจัดการแยกจากกัน TACACS+ เก็บการพิสูจน์ตัวตน การอนุญาต และการบัญชีเป็นปฏิบัติการที่แยกจากกัน ดังนั้นการปฏิเสธที่มาหลังการแลกเปลี่ยนเสร็จสิ้นคือคำตอบของนโยบาย ไม่ใช่ความล้มเหลวของการขนส่ง การอ่านว่าเป็นปัญหาเครือข่ายจะทำให้คุณค้นผิดที่

เก็บความลับออกจากการดักจับแพ็กเก็ต ตั๋ว และบทถอดความระหว่างการดีบัก และจำไว้ว่าที่อยู่ต้นทางที่เซิร์ฟเวอร์บันทึกคือที่อยู่ที่ดีไซน์ของคุณต้องอธิบาย

ทำการเปลี่ยนแปลงโดยไม่ล็อกตัวเองออก

ใช้คอนโซลหรือ เส้นทางการจัดการที่เป็นอิสระ ขณะเปลี่ยนการพิสูจน์ตัวตนของผู้ดูแลระบบระยะไกล และเก็บทางเลือกสำรองในเครื่องที่ได้รับอนุมัติไว้จนกว่าเส้นทางใหม่จะนำการเข้าสู่ระบบจริงได้ จากนั้นตรวจสอบอย่างแคบ: หนึ่งเซิร์ฟเวอร์ หนึ่งอุปกรณ์ หนึ่งการพิสูจน์ตัวตนที่สำเร็จโดยสังเกตที่อยู่ต้นทางทั้งสองด้าน

บันทึกกระแสไว้ในหน้าของมันเอง: อินเทอร์เฟซและที่อยู่ต้นกำเนิด เซิร์ฟเวอร์ระยะไกล เส้นทางที่ได้รับการป้องกัน และผู้ที่เป็นเจ้าของนโยบายการอนุญาต จากนั้นการเปลี่ยนแปลงอินเทอร์เฟซหรืออุโมงค์ในภายหลังสามารถประเมินได้โดยไม่ต้องเดาว่ากระแสใดในสองกระแสได้รับผลกระทบ