کیا VPN ذیلی نیٹ ASA انٹرفیس کی سیکیورٹی سطح وراثت میں پاتا ہے؟

کوئی پوچھتا ہے کہ کیا برانچ کے VPN ذیلی نیٹ کے پاس ASA پر «سیکیورٹی سطح 0 یا 100» ہے، اور سوال میں پہلے ہی غلطی موجود ہے۔ سیکیورٹی سطح مقامی انٹرفیس کی خصوصیت ہے اور انٹرفیس کنفیگریشن میں 0 سے 100 تک دی جاتی ہے۔ ٹنل کے ذریعے آنے والا دور دراز ذیلی نیٹ کوئی سطح نہیں پاتا، crypto map جیسے بھی لکھا گیا ہو۔ اسی لیے سوال کا کوئی عددی جواب نہیں ہے۔

عملی اگلا سوال بہتر ہے: کون سی پالیسی برانچ کو سرور تک جانے دیتی ہے اور کون سی اسے خود فائر وال سے دور رکھتی ہے۔ یہ دو جواب ہیں، اور نیچے کا طریقہ انہیں الگ کرتا ہے۔

سیکیورٹی سطحیں انٹرفیسوں کی ہوتی ہیں

show running-config interface چلائیں اور آپ کو ہر فزیکل انٹرفیس یا VLAN انٹرفیس کے نیچے security-level نظر آئے گا، ٹنل گروپ یا crypto map کے نیچے نہیں۔ اوپر سے نیچے کی ڈیفالٹ اجازت انہی انٹرفیسوں کے درمیان جانچی جاتی ہے، اسی لیے عدد اپنے راستے پر معائنے اور مضمر ACL کے رویے کو بدلتا ہے۔

ڈکرپٹ شدہ VPN بہاؤ کے لیے داخلہ اب بھی outside انٹرفیس ہے جہاں ٹنل ختم ہوتا ہے، اور اخراج سرور کی طرف inside انٹرفیس ہے۔ کچھ بھی چھونے سے پہلے دونوں لکھ لیں۔ یہ ایک قدم زیادہ تر الجھن دور کرتا ہے، کیونکہ یہ اعتماد کے تجریدی سوال کو انٹرفیس جوڑے میں بدل دیتا ہے۔

ACL سے گزرنے کی ایک نامزد حد ہے

sysopt connection permit-vpn وہ سیٹنگ ہے جسے لوگ آدھا یاد رکھتے ہیں جب وہ کہتے ہیں کہ VPN ٹریفک ACL کو نظر انداز کرتی ہے۔ یہ واقعی VPN ٹریفک کے طور پر اہل ٹریفک کے لیے انٹرفیس ACL چھوڑ دیتا ہے، اور 9.x پیرامیٹر گائیڈ اسے عالمی استثنا قرار دینے کے بجائے انٹرفیس اور سمت کے مطابق محدود کرتی ہے۔

یادداشت سے استدلال کرنے سے پہلے جانچیں کہ کیا کنفیگر ہے:

• show running-config all sysopt اصل قدر دیکھنے کے لیے، صرف غیر ڈیفالٹ سطریں نہیں۔
• show running-config access-group یہ دیکھنے کے لیے کہ کون سا ACL کس انٹرفیس اور سمت پر لاگو ہے۔
• show vpn-sessiondb detail l2l یہ یقینی بنانے کے لیے کہ سیشن واقعی کون سا ٹنل گروپ اور فلٹر استعمال کرتا ہے۔

VPN رسائی سخت کرنے کے لیے اس سیٹنگ کو بند کرنا بڑے اثر کی تبدیلی ہے۔ یہ ہر اہل VPN بہاؤ کو دوبارہ بیرونی ACL کے تابع کرتا ہے، جو عام طور پر چلتی ٹنلوں کو ان طریقوں سے توڑتا ہے جن کا اس برانچ سے کوئی تعلق نہیں جس کے بارے میں آپ سے پوچھا گیا۔

سیشن سے منسلک فلٹر پڑھیں

ہر ٹنل کے لیے اصل کنٹرول VPN فلٹر ہے: گروپ پالیسی یا صارف نام کا حوالہ دیا گیا ACL، ڈکرپشن کے بعد اور انکرپشن سے پہلے لاگو ہوتا ہے۔ صارف سطح کا فلٹر گروپ سطح کی قدر کو بدل دیتا ہے، اس لیے ایک ہی ٹنل گروپ کے دو افراد کی مؤثر رسائی مختلف ہو سکتی ہے۔

ترجیح فرض کرنے کے بجائے اس کی تصدیق کریں۔ show running-config group-policy <name> گروپ کی قدر دکھاتا ہے، اور show running-config username <name> دکھاتا ہے کہ فی صارف قدر موجود ہے یا نہیں۔ اگر دونوں موجود ہوں تو صارف کی قدر جیتتی ہے۔ پھر اس ACL کے اندراجات کا آپ کے لیے اہم بہاؤ سے، اس سمت میں موازنہ کریں جس میں فلٹر جانچتا ہے۔

ایپلیکیشن سرور کی اجازت دینے والا فلٹر انتظام کے بارے میں کچھ نہیں کہتا۔ یہ الگ راستے پر الگ قواعد ہیں۔

ایک اجازت اور ایک انکار کی تصدیق کریں

صارف کی رپورٹ کا انتظار کیے بغیر فیصلہ دیکھنے کا تیز ترین طریقہ Packet-tracer ہے۔ اسے ڈکرپٹ طرف کا بہاؤ دیں اور اسے ان ACL، NAT اور معائنے کے مراحل کے نام بتانے دیں جن سے وہ گزرتا ہے۔

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. نتیجے کی سطر پڑھیں: یہ اس ACL کا نام بتاتی ہے جس نے پیکٹ کو اجازت دی یا گرا دیا۔
3. inside انٹرفیس پر انتظامی منزل کے ساتھ دہرائیں اور انکار کی تصدیق کریں۔
4. کسی بھی تبدیلی کے بعد ایک بار پھر دہرائیں، تاکہ پہلے اور بعد کی دونوں حالتیں ریکارڈ ہوں۔

پھر اصل ٹریفک سے تصدیق کریں: برانچ سے ایک کامیاب ایپلیکیشن درخواست اور ASA کی طرف ایک ناکام SSH کوشش۔ Packet-tracer راستے کا نمونہ بناتا ہے؛ زندہ بہاؤ ثابت کرتا ہے کہ نمونہ میل کھاتا تھا۔

وہ تبدیلی واپس لیں جس نے اسے کام کرایا

اگر حل ACL سے گزرنا بند کرنا یا فلٹر کو وسیع کرنا تھا، تو پچھلی کنفیگریشن رکھیں۔ تبدیلی سے پہلے محفوظ کیے گئے متاثرہ اشیاء کا show run کیپچر انہیں بحال کرنے کے لیے کافی ہے؛ ASA کنفیگریشن سطروں پر مبنی ہے، اس لیے واپس کرنے کا مطلب پرانی سطریں دوبارہ درج کرنا ہے، فائل بحال کرنا نہیں۔

انٹرفیس جوڑا، مؤثر فلٹر، packet-tracer سے ACL کا نام اور وہ درست کمانڈز جنہیں آپ نے بدلا، ریکارڈ کریں۔ وہ ریکارڈ اگلے جائزے کو اعتماد کی سطحوں پر ایک اور بحث کے بجائے پانچ منٹ کی جانچ بنا دیتا ہے۔