Bir VPN alt ağı ASA arayüzünün güvenlik düzeyini devralır mı?

Şifresi çözülmüş bir VPN alt ağı hiçbir zaman arayüz güvenlik düzeyini devralmaz. sysopt connection permit-vpn, grup filtresi ve yönetim erişimini ayrı ayrı denetleyin.

Birisi şube VPN alt ağının ASA'da «güvenlik düzeyi 0 veya 100» olup olmadığını soruyor ve soru zaten hatayı içeriyor. Güvenlik düzeyi yerel bir arayüzün özelliğidir ve arayüz yapılandırmasında 0 ile 100 arasında atanır. Tünelden gelen uzak bir alt ağ bunu edinmez, crypto map nasıl yazılmış olursa olsun. Bu yüzden sorunun sayısal bir yanıtı yok.

Pratik sonraki soru daha iyidir: hangi politika şubeyi sunucuya geçirir ve hangisi onu güvenlik duvarının kendisinden uzak tutar. Bunlar iki yanıttır ve aşağıdaki prosedür onları ayırır.

Güvenlik düzeyleri arayüzlere aittir

show running-config interface komutunu çalıştırın ve security-level öğesini her fiziksel arayüzün veya VLAN arayüzünün altında görürsünüz, tünel grubunun veya crypto map'in altında değil. Varsayılan yüksekten düşüğe izin, bu arayüzler arasında değerlendirilir, bu yüzden sayı ait olduğu yolda denetim ve örtük ACL davranışını değiştirir.

Şifresi çözülmüş bir VPN akışında giriş hâlâ tünelin bittiği outside arayüzüdür, çıkış ise sunucuya doğru inside arayüzüdür. Herhangi bir şeye dokunmadan önce ikisini de yazın. Bu tek adım karışıklığın çoğunu ortadan kaldırır, çünkü soyut bir güven sorusunu bir arayüz çiftine dönüştürür.

ACL atlatmasının adlandırılmış bir sınırı vardır

sysopt connection permit-vpn, insanların VPN trafiği ACL'leri yok sayar dediklerinde yarı yarıya hatırladıkları ayardır. Gerçekten de VPN trafiği olarak nitelenen trafik için arayüz ACL'sini atlar ve 9.x parametre kılavuzu bunu küresel bir istisna ilan etmek yerine arayüz ve yöne göre sınırlar.

Bellekten akıl yürütmeden önce neyin yapılandırıldığını denetleyin:

  • show running-config all sysopt gerçek değeri görmek için, yalnızca varsayılan olmayan satırları değil.
  • show running-config access-group hangi ACL'nin hangi arayüze ve yöne uygulandığını görmek için.
  • show vpn-sessiondb detail l2l oturumun gerçekte hangi tünel grubunu ve filtreyi kullandığını doğrulamak için.

VPN erişimini sıkılaştırmak için bu ayarı kapatmak geniş etkili bir değişikliktir. Her nitelikli VPN akışını yeniden dış ACL'ye tabi tutar, bu da genellikle çalışan tünelleri size sorulan şube ile ilgisiz biçimlerde bozar.

Oturuma bağlı filtreyi okuyun

Tünel başına gerçek denetim VPN filtresidir: grup ilkesinin veya kullanıcı adının başvurduğu, şifre çözmeden sonra ve şifrelemeden önce uygulanan bir ACL. Kullanıcı düzeyindeki filtre grup düzeyindeki değeri geçersiz kılar, bu yüzden aynı tünel grubundaki iki kişi farklı etkin erişime sahip olabilir.

Önceliği varsaymak yerine doğrulayın. show running-config group-policy <name> grubun değerini gösterir ve show running-config username <name> kullanıcı başına bir değer olup olmadığını gösterir. İkisi de varsa kullanıcı değeri kazanır. Ardından o ACL'nin girdilerini önemsediğiniz akışla, filtrenin değerlendirdiği yönde karşılaştırın.

Uygulama sunucusuna izin veren bir filtre yönetim hakkında hiçbir şey söylemez. Bunlar ayrı bir yolda ayrı kurallardır.

Bir izni ve bir reddi doğrulayın

Packet-tracer, bir kullanıcının bildirmesini beklemeden kararı görmenin en hızlı yoludur. Ona şifresi çözülmüş taraftaki akışı verin ve geçtiği ACL, NAT ve denetim aşamalarını adlandırmasına izin verin.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Sonuç satırını okuyun: pakete izin veren veya onu düşüren ACL'yi adlandırır.
  3. inside arayüzündeki yönetim hedefiyle yineleyin ve bir reddi doğrulayın.
  4. Her değişiklikten sonra bir kez daha yineleyin, böylece hem önceki hem de sonraki durum kaydedilsin.

Sonra gerçek trafikle doğrulayın: şubeden bir başarılı uygulama isteği ve ASA'ya bir başarısız SSH denemesi. Packet-tracer yolu modeller; canlı akış modelin eşleştiğini kanıtlar.

Çalışmasını sağlayan değişikliği geri alın

Düzeltme ACL atlatmasını kapatmak veya bir filtreyi genişletmekse önceki yapılandırmayı koruyun. Değişiklikten önce kaydedilen etkilenen nesnelerin show run görüntüsü onları geri yüklemek için yeterlidir; ASA yapılandırması satır odaklıdır, bu yüzden geri alma eski satırları yeniden girmek anlamına gelir, bir dosyayı geri yüklemek değil.

Arayüz çiftini, etkin filtreyi, packet-tracer'dan gelen ACL adını ve değiştirdiğiniz tam komutları kaydedin. Bu kayıt, bir sonraki incelemeyi güven düzeyleri hakkında bir başka tartışma yerine beş dakikalık bir denetime dönüştürür.

İlgili makaleler