سائٹس کے درمیان VPN کام کرتا ہے، لیکن ASA کے لاگ نہیں آتے: ماخذ پتہ چیک کریں

اندرونی ہوسٹ دور دراز جمع کنندہ تک پہنچتے ہیں اور ان کی syslog سطریں ظاہر ہوتی ہیں۔ انہی سیشنوں کے بارے میں ASA کے اپنے پیغامات کبھی نہیں آتے۔ جمع کنندہ یا ٹنل میں کچھ بھی غلط نہیں، اور یہی الجھن والا حصہ ہے۔ فائر وال اپنے لاگ ایسے ماخذ سے بھیج رہا ہے جس کی حفاظت کے لیے ٹنل کبھی نہیں بنی۔

کیا آتا ہے اور کیا نہیں

ڈیش بورڈ پر یکساں نظر آنے والے دو بہاؤ الگ کر کے شروع کریں۔ آگے بھیجا گیا ٹریفک ASA سے گزرتا ہے: LAN ہوسٹ جمع کنندہ کو بھیجتا ہے، ASA اسے ٹنل پالیسی سے ملاتا ہے، اسے خفیہ کرتا ہے، اور جمع کنندہ ہوسٹ کا پتہ دیکھتا ہے۔ پیدا شدہ ٹریفک ASA پر ہی شروع ہوتا ہے: آلہ syslog پیکٹ بناتا ہے، خارجی انٹرفیس اور ماخذ منتخب کرتا ہے، اور پھر ہی پوچھتا ہے کہ کوئی ٹنل پالیسی میل کھاتی ہے یا نہیں۔ پہلا بہاؤ ثابت کرتا ہے کہ ٹنل کام کرتی ہے، اور دوسرے کے بارے میں کچھ نہیں کہتا۔

آلے پر بفر شدہ واقعہ بھی دور دراز ترسیل کا ثبوت نہیں ہے، کیونکہ لاگ مقامی طور پر موجود ہو سکتا ہے اور کبھی بھیجا نہ گیا ہو۔ ٹنل کو مورد الزام ٹھہرانے سے پہلے جمع کنندہ کے وصولی کاؤنٹرز دیکھیں، کیونکہ خالی کاؤنٹر بڑھتے کاؤنٹر سے مختلف نتیجہ ہے۔

پیدا شدہ پیغام آگے بھیجا گیا ٹریفک نہیں ہے

جب ASA خود پیکٹ پیدا کرتا ہے، تو وہ LAN ہوسٹ کی پراکسی نہیں کر رہا۔ ماخذ خارجی انٹرفیس سے یا واضح ماخذ سیٹنگ سے آتا ہے، اور پیکٹ اسی روٹ تلاش اور انہی پالیسی جانچوں میں داخل ہوتا ہے جیسے آلہ بھیجتا ہے۔ اس کا مطلب ہے کہ VPN سلیکٹر میں وہ پتہ شامل ہونا چاہیے جو ASA واقعی استعمال کرتا ہے، اور یہ اکثر اس کا بیرونی انٹرفیس ہوتا ہے، اندرونی سب نیٹ نہیں۔

اگر پالیسی 10.20.0.0/24 کی حفاظت کرتی ہے اور ASA اپنے بیرونی پتے کو ماخذ کے طور پر استعمال کرتا ہے، تو لاگ پیکٹ یا تو ایسے جمع کنندہ کی طرف کھلے متن میں نکلتا ہے جہاں پہنچ نہیں سکتا، یا اسے گرا دیا جاتا ہے۔ جمع کنندہ کی طرف سے دونوں نتائج یکساں لگتے ہیں۔ یہی استدلال انتظامی ٹریفک پر بھی لاگو ہوتا ہے، اسی لیے management-access ایک الگ ڈیزائن فیصلہ ہے۔

ASA نیٹ ورک پر کون سا ماخذ رکھتا ہے

ماخذ کو اندازے سے نہیں، تجربے سے تلاش کریں۔ آزمائشی پیغام کے دوران خارجی انٹرفیس پر کیپچر اصل ماخذ اور منزل دکھاتا ہے، اور یہ کنفیگریشن کے تین حصے پڑھنے سے کم وقت لیتا ہے۔ اس پتے کا موازنہ ٹنل کے مقامی سلیکٹر سے کریں۔

کچھ ریلیز لاگنگ ماخذ کو انٹرفیس پر پن کرنے دیتی ہیں، اور آپ کے ورژن کا کمانڈ ریفرنس اس بارے میں اختیار ہے کہ وہ آپشن موجود ہے یا نہیں اور وہ کیا بدلتا ہے۔ کسی دوسرے Cisco پلیٹ فارم کا source-interface کمانڈ ASA پر خود بخود درست نہیں ہوتا۔

اگر آپ ماخذ تبدیل کرتے ہیں، تو جان بوجھ کر کریں اور نوٹ کریں، کیونکہ جمع کنندہ کے ACL اور syslog پر بنی کوئی بھی ارتباط اس پر منحصر ہے۔

سلیکٹر کو لاگ بہاؤ سے ہم آہنگ کریں

ماخذ معلوم ہونے کے بعد تین چیزیں ترتیب سے چیک کریں: کون سا ٹریفک دلچسپ ہے یہ طے کرنے والا کرپٹو ACL یا پالیسی پر مبنی سلیکٹر، پیکٹ کہاں جاتا ہے یہ طے کرنے والا روٹ، اور انکرپشن سے پہلے ماخذ دوبارہ لکھ سکنے والا کوئی بھی NAT اصول۔ جو پیکٹ روٹ سے میل کھاتا ہے مگر سلیکٹر سے نہیں، وہ ٹنل نہیں ہوتا، اور NAT کا دوبارہ لکھا ہوا پیکٹ دونوں میں سے کسی سے میل نہ کھا سکے۔

جمع کنندہ کی طرف کی اپنی ضروریات ہیں: ASA کے ماخذ کی اجازت دینے والا ACL، واپسی کا روٹ، اور آپ کے کنفیگر کردہ پورٹ پر سننے والی سروس۔ یہاں بھی منتقلی اہم ہے، کیونکہ جزوی طور پر بلاک شدہ راستے پر TCP اور TLS لاگنگ UDP سے مختلف برتاؤ کرتی ہے۔ ایک وقت میں ایک عنصر بدلیں، ورنہ اگلا کیپچر نہیں بتائے گا کہ کون سی تبدیلی اہم تھی۔

جمع کنندہ پر تصدیق کریں، پھر ماخذ درج کریں

تصدیق کریں کہ پیغام آتا ہے، پھر ASA کا استعمال کردہ ماخذ پتہ، اسے لے جانے والا سلیکٹر اور جس شدت سے آپ نے آزمائش کی وہ لکھیں۔

وہ ریکارڈ اگلی جمع کنندہ ACL تبدیلی یا سلیکٹر کی تدوین کو دوبارہ دریافت کرنے کے بجائے دو منٹ کی جانچ بنا دیتا ہے۔ یہ یہ بھی درج کرتا ہے کہ دو بہاؤ میں سے کس کی کبھی تصدیق ہوئی، اور یہی وہ حصہ ہے جو زیادہ تر رن بک چھوڑ دیتے ہیں۔ اگر پیغام پھر بھی نہ آئے، تو شدت کی حد عارضی طور پر کم کریں اور ایک ہی منزل کے خلاف آزمائش کریں۔

Cisco کے ASA لاگنگ سے متعلق عام سوالات بیرونی ماخذ والے کیس کی دستاویز کرتے ہیں جس کے لیے متعلقہ محفوظ ٹریفک کی تعریف درکار ہے، اور ان کی اندرونی ماخذ والی مثال میں اندر لاگنگ ہوسٹ اور اندر management-access دونوں شامل ہیں۔ دستاویزی امتزاج اور سافٹ ویئر سیاق کو ساتھ سمجھیں، یہ مت مانیں کہ ایک نقل شدہ سطر ہر کنفیگریشن میں فٹ بیٹھتی ہے۔

LAN ٹریفک لے جانے والی ٹنل فائر وال کی اپنی آواز لے جانے والی ٹنل نہیں ہے۔