VPN کے ڈکرپٹ کرنے کے بعد کون سا ASA قاعدہ ٹریفک دیکھتا ہے

پہلا مفروضہ جسے چھوڑنا چاہیے یہ ہے کہ کرپٹو ACL ایک رسائی پالیسی ہے۔ ایسا نہیں ہے۔ Cisco ASA پر وہ فہرست ایک تنگ سوال کا جواب دیتی ہے: کون سے پیکٹ تحفظ کے لائق ہیں، اور یہ جواب اس بارے میں کچھ نہیں کہتا کہ ڈکرپٹ شدہ پیکٹ فائر وال کے پیچھے سرور تک پہنچ سکتا ہے یا نہیں۔ رسائی کا فیصلہ بعد میں ہوتا ہے — انٹرفیس پالیسی، گروپ پالیسی فلٹر، یا دونوں سے، انحصار اس بات پر کہ سرنگ کیسے بنی۔

کرپٹو ACL ایک مختلف سوال کا جواب دیتا ہے

کرپٹو ACL ایک مطابقت فہرست ہے۔ یہ سرنگ کو بتاتی ہے کہ دو فریقوں کے درمیان کیا انکرپٹ کرنا ہے؛ جو پیکٹ اس سے مطابقت نہیں رکھتا وہ محض محفوظ نہیں رہتا۔ اسے وسیع کرنے سے تحفظ کا دائرہ بدلتا ہے اور کچھ نہیں۔

اسی لیے وہاں سب نیٹ شامل کرنے سے سرنگ اوپر آ سکتی ہے جبکہ اصل ایپلیکیشن ناکام رہتی ہے۔ سرنگ اوپر ہے کیونکہ اب مطابقت موجود ہے۔ ایپلیکیشن ناکام ہے کیونکہ اس فہرست میں کچھ بھی کسی چیز کی اجازت نہیں دیتا۔ دو مختلف سوالات، دو مختلف فہرستیں۔

بائی پاس سیٹنگ دراصل کیا چھوڑتی ہے

sysopt connection permit-vpn محفوظ ٹریفک کو انٹرفیس ACL جانچ چھوڑنے دیتا ہے جو بصورت دیگر داخلی جانب لاگو ہوتی۔ یہ VPN تعیناتیوں کے لیے سہولت ہے، اور یہ عالمگیر ہے۔ یہ گروپ پالیسی کو نہیں چھوتا اور فی صارف اجازت فلٹر کو بھی نہیں چھوتا۔

مفروضے کی بجائے اصل قدر پڑھیں: show running-config all sysopt سیٹنگ چھاپتا ہے چاہے وہ کبھی واضح طور پر کنفیگر نہ کی گئی ہو، اور بہت سی الجھن وہیں سے شروع ہوتی ہے۔

چونکہ سیٹنگ عالمگیر ہے، اسے ایک ناکام سب نیٹ پر فوری تجربے کے طور پر جانچنا برا سودا ہے۔ اس فائر وال کی ہر دوسری سرنگ نتیجہ شیئر کرتی ہے۔ اسے رول بیک منصوبے کے ساتھ دانستہ تبدیلی کے لیے رکھیں۔

ڈکرپٹ سمت میں فلٹر پڑھیں

LAN-to-LAN vpn-filter انٹرفیس کے نہیں، سرنگ کے نقطہ نظر سے لکھا جاتا ہے۔ دور دراز نیٹ ورک ماخذ کی جگہ اور مقامی نیٹ ورک منزل کی جگہ آتا ہے، کیونکہ ڈکرپٹ کے بعد پیکٹ ایسا ہی دکھتا ہے۔ پھر وہی فلٹر انکرپشن سے پہلے مخالف سمت میں دوبارہ جانچا جاتا ہے، پتوں کے کردار الٹے ہو کر۔

پورٹ شرائط نقل شدہ انٹرفیس ACL سے زیادہ توجہ کی مستحق ہیں، اسی وجہ سے۔ ایک منزل پورٹ کی اجازت دینے والا قاعدہ مخالف سمت میں غیر ارادی اثر ڈال سکتا ہے، جہاں نیا کنکشن اس پورٹ کو اپنے ماخذ کے طور پر استعمال کرتا ہے۔ فہرست بنانے سے پہلے لکھیں کہ کون سا پہلو شروع کر سکتا ہے، اصل سروس کیا ہے، اور کون سا مخالف فریق بند رہنا چاہیے۔

تصدیق کریں کہ کون سا فلٹر واقعی منسلک ہے: show running-config group-policy اور show vpn-sessiondb detail l2l مل کر بتاتے ہیں کہ سیشن نے کیا وراثت میں پایا۔ جس ACL کا کوئی پالیسی حوالہ نہیں دیتی اسے تبدیل کرنے سے کچھ نہیں بدلتا۔

ایک ACL آبجیکٹ دو کاموں کے لیے دوبارہ استعمال نہ کریں

انٹرفیس کا access-group اور vpn-filter ایک ہی قسم کے آبجیکٹ لگتے ہیں اور مختلف مقامات پر مختلف پتہ سمت کے ساتھ جانچے جاتے ہیں۔ ایک فہرست دونوں کو دینا ایسی تبدیلی کی دعوت دیتا ہے جو سرنگ درست کرے اور طبعی انٹرفیس کو خاموشی سے ڈھیلا کرے۔

انہیں الگ رکھیں، ان کے کام کے مطابق نام دیں، اور سمت کا فرق ناموں میں نظر آئے۔

نئے کنکشنز کے ساتھ، دونوں سمتوں میں تصدیق کریں

منصوبہ بند تبدیلی کے بعد، ایک نیا کنکشن کھولیں جس کی اجازت ہونی چاہیے اور ایک نیا کنکشن جسے مسترد ہونا چاہیے، پھر پتے، سمت اور پالیسی مطابقت کو نتیجے کے ساتھ درج کریں۔ قائم شدہ سیشن نئے کنکشن کی فلٹرنگ کے بارے میں کچھ ثابت نہیں کرتا، کیونکہ یہ پرانے قواعد کے تحت پہلے ہی داخل ہو چکا ہے۔

معائنے کو بھی مدنظر رکھیں۔ وینڈر کی دستاویزات بتاتی ہیں کہ VPN فلٹر ابتدائی کنکشن چیک کرتا ہے، معائنہ انجن کے کھولے ہوئے ہر ثانوی کنکشن کو نہیں، اس لیے کنٹرول چینل اور اس سے متعلق میڈیا بہاؤ مختلف سلوک پا سکتے ہیں۔ اگر ایپلیکیشن پروٹوکول جانتی ہے تو ایک پورٹ پروب کے بجائے اصل بہاؤ آزمائیں۔

وسیع بائی پاس کے بعد قابل استعمال ہونے والی سرنگ کہتی ہے کہ پابندی ہٹا دی گئی، یہ نہیں کہ اسے پورا کیا گیا۔ قابلِ حفاظت نتیجہ ایک نامزد نفاذ نقطہ ہے جس کی طرف آپ اگلے جائزے میں اشارہ کر سکتے ہیں۔