ASA'nın TACACS+ istekleri şube VPN tünelinizi neden atlar

Şube tüneli ayakta, kullanıcılar uzak TACACS+ sunucusunda kimlik doğruluyor ve güvenlik duvarının kendi oturum açması hâlâ zaman aşımına uğruyor. Neden tüneldeki bir hata değil: LAN-to-LAN tüneli seçicileriyle eşleşen trafiği taşır ve ASA'nın kendisi hakkında ürettiği yönetim trafiği kendi kaynak adresine sahip ayrı bir akıştır. Çoğu ekip bunu bir değişiklik penceresi sırasında, tek yönetici hesabı başarısız olan hesap olduğunda keşfeder. ASA'nın başlattığı AAA oturumunu tasarlamanız gereken bir akış olarak ele alın, hâlihazırda çalışan bir bağlantının yan etkisi olarak değil.

ASA istemcidir ve kendi trafiğinin kendi yoluna ihtiyacı vardır

Güvenlik duvarı bir TACACS+ sunucusuna bağlandığında, herhangi bir istemci gibidir; tek fark, kimsenin onun için bilerek bir yol yapılandırmamış olmasıdır. Paketleri cihazdaki bir arabirim adresinden çıkar, iletilmek yerine yerel olarak üretilir ve kullanıcı trafiği gibi yönlendirilmeli, çevrilmeli ve politikayla korunmalıdır. Kullanıcı alt ağını koruyan bir siteden siteye tünel, o yönetim kaynağını otomatik olarak korumaz, çünkü trafik seçimi adreslere dayanır, niyete değil.

Sunucunun görmesini beklediğiniz adresi yazın. Tek satırda söyleyemiyorsanız, henüz bir tasarımınız yok.

aaa-server satırındaki arabirim süs değildir

ASA'da aaa-server ana makine girdisi parantez içinde bir arabirim ilişkisi alır ve Cisco'nun AAA ana makine komut başvurusu bunu kimlik doğrulama sunucusunun bulunduğu arabirim olarak tanımlar. İsteği bir arabirime ve o arabirimin uyguladığı politikaya bağlayan tam olarak bu ilişkidir. İnternete bakan herhangi bir arabirime göre seçmek veya son geçişten kalanı olduğu gibi bırakmak, uzak sunucunun ve tünelin hiçbir zaman için inşa edilmediği bir kaynak adresi üretir.

inside yalnızca adı geçen arabirim, tasarımınızın kaynak olarak kullanmayı amaçladığı adresi taşıyorsa doğru yanıttır. Şube cihazında bu genellikle böyledir; birkaç özel segmenti olan bir cihazda olmayabilir.

İlişkiyi değiştirmek girdiyi yeniden oluşturmak demektir

Aynı komut başvurusu, geçişler sırasında insanları yakalayan bir düzenleme kısıtını belgeler: mevcut bir ana makinede arabirimi değiştirmek, ana makine girdisinin kaldırılıp yeniden oluşturulmasını gerektirir. Düzenlenmiş gibi görünen bir yapılandırma yürürlüğe girmemiş olabilir ve bir sonraki oturum açma denemesi yine eski adresten çıkar. Bunu yerinde bir düzeltme olarak değil, orijinal girdinin bir kopyası önünüzdeyken silme ve ekleme olarak planlayın.

Birkaç sunucu tanımlıysa, diğerlerine dokunmadan önce birini değiştirip test edin; böylece bir hata tüm yönetim yollarını aynı anda kilitlemez.

Seçicileri, çeviriyi ve dönüş yolunu birlikte kontrol edin

İsteğin ulaşması için üç şeyin uyuşması gerekir. Tünelin trafik seçicileri veya tünel arabirimi koruması kullanıyorsanız o, ASA'nın kendi kaynağını ve sunucunun adresini içermelidir; kullanıcı alt ağları için oluşturulmuş bir seçici listesi genellikle bunu yapmaz. Yoldaki her NAT kuralı bu kaynağı tutarlı biçimde çevirmelidir, çünkü sunucu gördüğü adresi içeren bir ağ cihazı kimliğini yetkilendirir. Ve dönüş yolu var olmalıdır; politika tabanlı bir tünelde bu, karşı uçta ters yönde eşleşen bir seçici bulunduğu anlamına gelir.

Sunucu tarafında cihaz kimliğini, paylaşılan sırrı ve yönetim politikasını ayrı ayrı doğrulayın. TACACS+ kimlik doğrulama, yetkilendirme ve muhasebeyi ayrı işlemler olarak tutar, bu nedenle tamamlanmış bir alışverişten sonra gelen ret bir politika yanıtıdır, taşıma arızası değil. Bunu ağ sorunu olarak okumak sizi yanlış yerde aramaya gönderir.

Hata ayıklarken sırrı paket yakalamalarından, kayıtlardan ve dökümlerden uzak tutun ve sunucunun günlüğe yazdığı kaynak adresin, tasarımınızın açıklaması gereken adres olduğunu unutmayın.

Değişikliği kendinizi dışarıda bırakmadan yapın

Uzak yönetim kimlik doğrulamasını değiştirirken konsol veya bağımsız bir yönetim yolu kullanın ve yeni yol gerçek bir oturum açma taşıyana kadar onaylanmış yerel bir yedek tutun. Ardından dar biçimde doğrulayın: bir sunucu, bir cihaz ve kaynak adresin iki uçta da gözlendiği bir başarılı kimlik doğrulama.

Akışı kendi sayfasına kaydedin: kaynak arabirim ve adres, uzak sunucu, korunan yol ve yetkilendirme politikasının sahibi olan kişi. Böylece sonraki bir arabirim veya tünel değişikliği, iki akıştan hangisini etkilediğini tahmin etmeden değerlendirilebilir.