Namo-mana ba ng VPN subnet ang antas ng seguridad ng interface ng ASA?

May nagtatanong kung ang VPN subnet ng sangay ay may «antas ng seguridad 0 o 100» sa ASA, at ang tanong ay may mali na. Ang antas ng seguridad ay katangian ng lokal na interface at itinatakda mula 0 hanggang 100 sa configuration ng interface. Ang malayong subnet na dumarating sa tunnel ay hindi nakakakuha ng anuman, kahit paano isinulat ang crypto map. Kaya ang tanong ay walang numerong sagot.

Mas mabuti ang praktikal na susunod na tanong: aling patakaran ang nagpapapasok sa sangay patungo sa server, at alin ang naglalayo rito sa firewall mismo. Dalawang sagot iyon, at pinaghihiwalay sila ng pamamaraan sa ibaba.

Ang mga antas ng seguridad ay nabibilang sa mga interface

Patakbuhin ang show running-config interface at makikita mo ang security-level sa ilalim ng bawat pisikal na interface o interface ng VLAN, hindi sa ilalim ng tunnel group o crypto map. Ang default na pahintulot mula mataas patungong mababa ay sinusuri sa pagitan ng mga interface na iyon, kaya binabago ng numero ang pag-uugali ng inspeksyon at ng implicit na ACL sa landas na kinabibilangan nito.

Para sa na-decrypt na daloy ng VPN, ang pasukan ay ang outside interface pa rin kung saan nagtatapos ang tunnel, at ang labasan ay ang inside interface patungo sa server. Isulat ang dalawa bago hawakan ang anuman. Ang isang hakbang na iyon ay nag-aalis ng karamihan ng kalituhan, dahil ginagawa nitong pares ng interface ang isang abstract na tanong ng tiwala.

Ang paglampas sa ACL ay may pinangalanang hangganan

sysopt connection permit-vpn ang setting na kalahating naaalala ng mga tao kapag sinasabi nilang binabalewala ng trapiko ng VPN ang ACL. Talagang nilalampasan nito ang ACL ng interface para sa trapikong kwalipikado bilang trapiko ng VPN, at nililimitahan ito ng gabay sa parameter ng 9.x ayon sa interface at direksyon sa halip na magpahayag ng pandaigdigang eksepsyon.

Suriin kung ano ang naka-configure bago mag-isip mula sa memorya:

• show running-config all sysopt upang makita ang aktwal na halaga, hindi lamang ang mga linyang hindi default.
• show running-config access-group upang makita kung aling ACL ang inilalapat sa aling interface at direksyon.
• show vpn-sessiondb detail l2l upang kumpirmahin kung aling tunnel group at filter ang aktwal na ginagamit ng sesyon.

Ang pag-off sa setting na iyon upang higpitan ang access sa VPN ay pagbabagong may malaking epekto. Muli nitong isinasailalim ang bawat kwalipikadong daloy ng VPN sa panlabas na ACL, na kadalasang sumisira sa gumaganang tunnel sa mga paraang walang kaugnayan sa sangay na tinanong sa iyo.

Basahin ang filter na nakakabit sa sesyon

Ang tunay na kontrol sa bawat tunnel ay ang filter ng VPN: isang ACL na tinutukoy ng patakaran ng grupo o ng pangalan ng user, inilalapat pagkatapos ng decryption at bago ang encryption. Ang filter sa antas ng user ay pumapalit sa halaga sa antas ng grupo, kaya ang dalawang tao sa parehong tunnel group ay maaaring may magkaibang aktwal na access.

Kumpirmahin ang precedence sa halip na ipagpalagay ito. show running-config group-policy <name> ay nagpapakita ng halaga ng grupo, at show running-config username <name> ay nagpapakita kung may halaga sa bawat user. Kung pareho ang umiiral, ang halaga ng user ang nananaig. Pagkatapos ay ihambing ang mga entry ng ACL na iyon sa daloy na mahalaga sa iyo, sa direksyong sinusuri ng filter.

Ang filter na pumapayag sa application server ay walang sinasabi tungkol sa pamamahala. Magkaibang patakaran iyon sa magkaibang landas.

I-verify ang isang pahintulot at isang pagtanggi

Ang Packet-tracer ang pinakamabilis na paraan upang makita ang desisyon nang hindi hinihintay ang user na mag-ulat nito. Bigyan ito ng daloy mula sa na-decrypt na bahagi at hayaang pangalanan ang mga yugto ng ACL, NAT at inspeksyon na dinaraanan nito.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Basahin ang linya ng resulta: pinapangalanan nito ang ACL na pumayag o nagtapon ng packet.
3. Ulitin gamit ang administratibong destinasyon sa inside interface at kumpirmahin ang isang pagtanggi.
4. Ulitin minsan pa pagkatapos ng anumang pagbabago, upang parehong maitala ang kalagayan bago at pagkatapos.

Pagkatapos ay i-verify gamit ang tunay na trapiko: isang matagumpay na kahilingan ng application mula sa sangay at isang nabigong pagtatangkang SSH patungo sa ASA. Minomodelo ng Packet-tracer ang landas; pinatutunayan ng live na daloy na tumugma ang modelo.

Ibalik ang pagbabagong nagpagana nito

Kung ang solusyon ay pag-off sa paglampas sa ACL o pagpapalawak ng filter, panatilihin ang dating configuration. Ang nakuhang show run ng mga apektadong object, na na-save bago ang pagbabago, ay sapat upang maibalik ang mga ito; ang configuration ng ASA ay nakasandig sa linya, kaya ang pagbalik ay nangangahulugan ng muling pagpasok ng lumang mga linya, hindi pag-restore ng file.

Itala ang pares ng interface, ang aktwal na filter, ang pangalan ng ACL mula sa packet-tracer at ang eksaktong mga command na binago mo. Ang talaang iyon ay ginagawang limang minutong pagsusuri ang susunod na review sa halip na isa na namang debate tungkol sa mga antas ng tiwala.