Siteler arası VPN çalışıyor ama ASA günlükleri gelmiyor: kaynak adresini kontrol edin

İç ana bilgisayarlar uzak toplayıcıya ulaşır ve syslog satırları görünür. ASA'nın aynı oturumlar hakkındaki kendi mesajları asla gelmez. Toplayıcıda da tünelde de bir sorun yoktur, ve kafa karıştıran kısım budur. Güvenlik duvarı günlüklerini tünelin asla korumak için kurulmadığı bir kaynaktan gönderiyor.

Ne gelir, ne gelmez

Panoda aynı görünen iki akışı ayırarak başlayın. Yönlendirilen trafik ASA'dan geçer: bir LAN ana bilgisayarı toplayıcıya gönderir, ASA bunu tünel politikasıyla eşleştirir, şifreler ve toplayıcı ana bilgisayarın adresini görür. Üretilen trafik ASA'nın kendisinde başlar: cihaz bir syslog paketi oluşturur, bir çıkış arayüzü ve kaynak seçer ve ancak ondan sonra herhangi bir tünel politikasının eşleşip eşleşmediğini sorar. İlk akış tünelin çalıştığını kanıtlar ve ikincisi hakkında hiçbir şey söylemez.

Cihazda arabelleğe alınmış bir olay da uzaktan teslimin kanıtı değildir, çünkü günlük yerelde var olabilir ve hiç gönderilmemiş olabilir. Tüneli suçlamadan önce toplayıcının alma sayaçlarını kontrol edin, çünkü boş bir sayaç büyüyen bir sayaçtan farklı bir bulgudur.

Üretilen mesaj yönlendirilen trafik değildir

ASA kendisi bir paket ürettiğinde, bir LAN ana bilgisayarı için proxy işlevi görmez. Kaynak çıkış arayüzünden veya açık bir kaynak ayarından gelir ve paket cihazın gönderdiği her şey gibi aynı rota aramasına ve aynı politika denetimlerine girer. Bu, VPN seçicisinin ASA'nın gerçekte kullandığı adresi içermesi gerektiği anlamına gelir ve bu genellikle iç alt ağ değil dış arayüzüdür.

Politika 10.20.0.0/24 ağını koruyor ve ASA kaynak olarak dış adresini kullanıyorsa, günlük paketi ya ulaşamayacağı bir toplayıcıya düz metin olarak çıkar ya da düşürülür. İki sonuç da toplayıcı tarafından aynı görünür. Aynı mantık yönetim trafiği için de geçerlidir, bu yüzden management-access ayrı bir tasarım kararıdır.

ASA ağa hangi kaynağı koyar

Kaynağı varsayımla değil deneysel olarak bulun. Bir test mesajı sırasında çıkış arayüzünde yapılan yakalama gerçek kaynağı ve hedefi gösterir ve üç yapılandırma bölümünü okumaktan daha az zaman alır. Bu adresi tünelin yerel seçicisiyle karşılaştırın.

Bazı sürümler günlük kaynağını bir arayüze sabitlemenize izin verir ve sürümünüz için komut başvurusu bu seçeneğin var olup olmadığı ve neyi değiştirdiği konusunda yetkilidir. Başka bir Cisco platformundan gelen source-interface komutu ASA'da otomatik olarak geçerli değildir.

Kaynağı değiştirirseniz, bunu bilerek yapın ve not edin, çünkü toplayıcının ACL'leri ve syslog üzerine kurulu her korelasyon buna bağlıdır.

Seçiciyi günlük akışıyla eşleştirin

Kaynak bilindiğinde üç şeyi sırayla kontrol edin: hangi trafiğin ilginç olduğuna karar veren kripto ACL veya politikaya dayalı seçici, paketin nereye gittiğine karar veren rota ve şifrelemeden önce kaynağı yeniden yazabilecek her NAT kuralı. Rotayla eşleşen ancak seçiciyle eşleşmeyen paket tünellenmez ve NAT'ın yeniden yazdığı paket ikisiyle de eşleşmeyebilir.

Toplayıcı tarafının kendi gereksinimleri vardır: ASA kaynağına izin veren bir ACL, bir dönüş rotası ve yapılandırdığınız bağlantı noktasında dinleyen bir hizmet. Taşıma burada da önemlidir, çünkü kısmen engellenmiş bir yolda TCP ve TLS günlüklemesi UDP'den farklı davranır. Her seferinde tek bir öğe değiştirin, yoksa bir sonraki yakalama hangi değişikliğin önemli olduğunu söylemez.

Toplayıcıda doğrulayın, sonra kaynağı kaydedin

Mesajın geldiğini doğrulayın, ardından ASA'nın kullandığı kaynak adresini, onu taşıyan seçiciyi ve test ettiğiniz önem derecesini yazın.

Bu kayıt, toplayıcıdaki bir sonraki ACL değişikliğini veya seçici düzenlemesini yeniden keşif yerine iki dakikalık bir kontrole dönüştürür. İki akıştan hangisinin herhangi bir zaman doğrulandığını da belgeler ve çoğu runbook'un atladığı kısım budur. Mesaj hâlâ gelmiyorsa önem eşiğini geçici olarak düşürün ve tek bir hedefe karşı test edin.

Cisco'nun ASA günlüklemesiyle ilgili SSS belgeleri, dış kaynaklı ve karşılık gelen korunan trafik tanımını gerektiren bir vakayı belgeler ve iç kaynaklı örnekleri hem içeride bir günlük ana bilgisayarını hem de içeride management-access'i içerir. Belgelenmiş birleşimi ve yazılım bağlamını birlikte ele alın, kopyalanmış tek bir satırın her yapılandırmaya uyduğunu varsaymayın.

LAN trafiği taşıyan bir tünel, güvenlik duvarının kendi sesini taşıyan bir tünel değildir.