Чи успадковує підмережа VPN рівень безпеки інтерфейсу ASA?

Розшифрована підмережа VPN ніколи не успадковує рівень безпеки інтерфейсу. Перевірте окремо sysopt connection permit-vpn, фільтр групи та доступ адміністратора.

Хтось питає, чи має підмережа VPN філії «рівень безпеки 0 або 100» на ASA, і питання вже містить помилку. Рівень безпеки — властивість локального інтерфейсу, він призначається від 0 до 100 у конфігурації інтерфейсу. Віддалена підмережа, що надходить через тунель, його не отримує, хоч би як було написано crypto map. Тому питання не має числової відповіді.

Практичне наступне питання краще: яка політика пускає філію до сервера, а яка тримає її далі від самого міжмережевого екрана. Це дві відповіді, і процедура нижче розділяє їх.

Рівні безпеки належать інтерфейсам

Виконайте show running-config interface, і ви побачите security-level під кожним фізичним інтерфейсом або інтерфейсом VLAN, а не під групою тунелю чи crypto map. Дозвіл за замовчуванням від вищого до нижчого оцінюється між цими інтерфейсами, тому число змінює поведінку перевірки та неявного ACL на шляху, якому належить.

Для розшифрованого потоку VPN вхід усе ще зовнішній інтерфейс, де закінчується тунель, а вихід — внутрішній інтерфейс до сервера. Запишіть обидва, перш ніж щось чіпати. Цей один крок прибирає більшість плутанини, бо перетворює абстрактне питання довіри на пару інтерфейсів.

Обхід ACL має названу межу

sysopt connection permit-vpn — це налаштування, яке люди пам’ятають наполовину, коли кажуть, що трафік VPN ігнорує ACL. Воно справді пропускає ACL інтерфейсу для трафіку, що кваліфікується як трафік VPN, а довідник параметрів 9.x обмежує його за інтерфейсом і напрямком, а не оголошує глобальний виняток.

Перевірте, що налаштовано, перш ніж міркувати з пам’яті:

  • show running-config all sysopt щоб побачити дійсне значення, а не лише рядки, відмінні від стандартних.
  • show running-config access-group щоб побачити, який ACL застосовано до якого інтерфейсу та напрямку.
  • show vpn-sessiondb detail l2l щоб підтвердити, яку групу тунелю та який фільтр насправді використовує сеанс.

Вимкнення цього налаштування для посилення доступу VPN — зміна з великим радіусом дії. Воно знову підпорядковує кожен відповідний потік VPN зовнішньому ACL, що зазвичай ламає робочі тунелі способами, не пов’язаними з філією, про яку вас запитали.

Прочитайте фільтр, прив’язаний до сеансу

Справжнє керування на тунель — це фільтр VPN: ACL, на який посилається групова політика або ім’я користувача, застосовується після розшифрування і до шифрування. Фільтр рівня користувача перекриває значення рівня групи, тому двоє людей в одній групі тунелю можуть мати різний фактичний доступ.

Підтвердьте пріоритет, а не припускайте його. show running-config group-policy <name> показує значення групи, а show running-config username <name> показує, чи існує значення для користувача. Якщо існують обидва, перемагає значення користувача. Потім порівняйте записи цього ACL з потоком, який вас цікавить, у напрямку, у якому оцінює фільтр.

Фільтр, що дозволяє сервер програм, нічого не каже про керування. Це окремі правила на окремому шляху.

Перевірте один дозвіл і одну заборону

Packet-tracer — найшвидший спосіб побачити рішення, не чекаючи повідомлення користувача. Дайте йому потік з боку розшифрування і дозвольте назвати етапи ACL, NAT і перевірки, які він проходить.

  1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
  2. Прочитайте рядок результату: він називає ACL, який дозволив або відкинув пакет.
  3. Повторіть з адміністративним призначенням на внутрішньому інтерфейсі та підтвердьте заборону.
  4. Повторіть ще раз після будь-якої зміни, щоб було записано і попередній, і наступний стан.

Потім перевірте реальним трафіком: один успішний запит програми з філії та одна невдала спроба SSH до ASA. Packet-tracer моделює шлях; живий потік доводить, що модель збіглася.

Відкотіть зміну, яка змусила це працювати

Якщо виправленням було вимкнення обходу ACL або розширення фільтра, збережіть попередню конфігурацію. Знімок show run уражених об’єктів, збережений до зміни, достатній для їх відновлення; конфігурація ASA орієнтована на рядки, тому відкат означає повторне введення старих рядків, а не відновлення файлу.

Запишіть пару інтерфейсів, чинний фільтр, назву ACL з packet-tracer і точні команди, які ви змінили. Цей запис перетворює наступний огляд на п’ятихвилинну перевірку замість чергової суперечки про рівні довіри.

Схожі статті