Aling panuntunan ng ASA ang nakakakita ng trapiko pagkatapos i-decrypt ng VPN

Ang unang palagay na dapat iwanan ay ang crypto ACL ay isang patakaran sa pag-access. Hindi ito. Sa isang Cisco ASA, sinasagot ng listahang iyon ang isang makitid na tanong: aling mga packet ang karapat-dapat sa proteksyon, at walang sinasabi ang sagot na iyon tungkol sa kung ang na-decrypt na packet ay makakaabot sa server sa likod ng firewall. Nadesisyon ang pag-access mamaya, sa pamamagitan ng patakaran ng interface, ng filter ng patakaran ng grupo, o ng pareho, depende sa kung paano itinayo ang tunnel.

Ibang tanong ang sinasagot ng crypto ACL

Ang crypto ACL ay isang listahan ng pagtutugma. Sinasabi nito sa tunnel kung ano ang ie-encrypt sa pagitan ng dalawang panig; ang packet na hindi tumutugma dito ay hindi protektado. Ang pagpapalawak nito ay nagbabago ng saklaw ng proteksyon at wala nang iba.

Kaya nga ang pagdaragdag ng subnet doon ay maaaring magpaangat ng tunnel habang nabibigo pa rin ang aktwal na aplikasyon. Nakaangat ang tunnel dahil may tugma na ngayon. Nabibigo pa rin ang aplikasyon dahil walang anuman sa listahang iyon ang nagpapahintulot ng anuman. Dalawang magkaibang tanong, dalawang magkaibang listahan.

Ano talaga ang nilalaktawan ng bypass setting

sysopt connection permit-vpn ay nagpapahintulot sa protektadong trapiko na laktawan ang pagsusuri ng ACL ng interface na kung hindi ay mag-aplay sa papasok na panig. Ito ay kaginhawahan para sa mga deployment ng VPN, at ito ay global. Hindi nito ginagalaw ang patakaran ng grupo at hindi nito ginagalaw ang filter ng awtorisasyon bawat user.

Basahin ang aktwal na halaga sa halip na ang palagay: show running-config all sysopt ay nagpi-print ng setting kahit hindi ito kailanman tahasang na-configure, at doon nagsisimula ang maraming kalituhan.

Dahil global ang setting, ang subukan ito bilang mabilis na eksperimento sa isang nabibigong subnet ay masamang palitan. Bawat ibang tunnel sa firewall na iyon ay nagbabahagi ng resulta. Itabi ito para sa sinadyang pagbabago na may plano sa pag-rollback.

Basahin ang filter sa direksyong na-decrypt

Ang isang vpn-filter na LAN-to-LAN ay isinusulat mula sa pananaw ng tunnel, hindi ng interface. Ang malayong network ay nasa posisyon ng pinagmulan at ang lokal na network sa posisyon ng destinasyon, dahil ganoon ang hitsura ng packet pagkatapos ng decryption. Ang parehong filter ay muling sinusuri sa kabaligtarang direksyon bago ang encryption, na baligtad ang mga tungkulin ng address.

Ang mga kondisyon ng port ay nangangailangan ng higit na pag-iingat kaysa sa kinopyang ACL ng interface dahil mismo doon. Ang isang panuntunang nagpapahintulot sa isang port ng destinasyon ay maaaring may hindi sinasadyang epekto sa kabaligtarang direksyon, kung saan ginagamit ng bagong koneksyon ang port na iyon bilang pinagmulan nito. Isulat kung aling panig ang maaaring magsimula, ang aktwal na serbisyo, at ang katunggali na dapat manatiling sarado bago buuin ang listahan.

Kumpirmahin kung aling filter ang aktwal na nakakabit: show running-config group-policy at show vpn-sessiondb detail l2l magkasama ay nagsasabi kung ano ang minana ng session. Ang pag-edit ng ACL na walang patakarang tumutukoy dito ay walang binabago.

Huwag gamitin muli ang isang bagay na ACL para sa dalawang gawain

Ang access-group ng interface at ang vpn-filter ay mukhang parehong uri ng bagay at sinusuri sa magkaibang punto na may magkaibang oryentasyon ng address. Ang pagtalaga ng isang listahan sa pareho ay nag-aanyaya ng pagbabagong nag-aayos sa tunnel at tahimik na nagpapaluwag sa pisikal na interface.

Panatilihin silang hiwalay, pangalanan ayon sa kanilang gawain, at hayaang makita ang pagkakaiba ng direksyon sa mga pangalan.

I-verify gamit ang mga bagong koneksyon, sa dalawang direksyon

Pagkatapos ng planadong pagbabago, buksan ang isang bagong koneksyon na dapat payagan at isang bagong koneksyon na dapat tanggihan, pagkatapos itala ang mga address, direksyon at pagtutugma ng patakaran kasama ang resulta. Ang naitatag na session ay walang pinapatunayan tungkol sa pag-filter ng mga bagong koneksyon, dahil naipasok na ito sa ilalim ng mga lumang panuntunan.

Isaalang-alang din ang inspeksyon. Itinatala ng dokumentasyon ng vendor na sinusuri ng filter ng VPN ang unang koneksyon at hindi bawat pangalawang koneksyon na binubuksan ng isang inspection engine, kaya ang control channel at ang kaugnay nitong media flow ay maaaring tumanggap ng ibang pagtrato. Kung alam ng aplikasyon ang protocol, subukan ang aktwal na daloy sa halip na isang port probe.

Ang tunnel na nagiging magagamit pagkatapos ng malawak na bypass ay nagsasabi na inalis ang paghihigpit, hindi na natugunan ito. Ang resulta na sulit itago ay isang pinangalanang punto ng pagpapatupad na matutukoy mo sa susunod na pagsusuri.