ASA کا دور دراز صارف سب نیٹ تک کیوں پہنچتا ہے مگر ایپ تک نہیں
راستے ثابت کرتے ہیں کہ ٹنل کام کرتی ہے، یہ نہیں کہ صارف ایپ کھول سکتا ہے۔ سیشن کو ملا فلٹر پڑھیں، پھر اجازت یافتہ اور مسترد شدہ کنکشن جانچیں۔
آپ کا صارف جڑتا ہے، پتہ پاتا ہے، ایپ کے سب نیٹ میں سرور کو پنگ کرتا ہے اور پھر بھی اس پر موجود سروس نہیں کھول سکتا۔ یہ امتزاج ASA پر عام ہے، کیونکہ کامیاب ٹنل اور قابلِ استعمال اجازت مختلف سیٹنگز سے طے ہوتی ہیں۔ اسپلٹ ٹنل فہرست نے چنا کہ کون سی منزلیں ٹنل میں داخل ہوں؛ VPN فلٹر اور منزل کے اپنے رسائی قواعد طے کرتے ہیں کہ ڈکرپٹ شدہ درخواست کہاں تک پہنچ سکتی ہے۔ راستوں کی فہرست پھیلانے کے بجائے تینوں فیصلے ترتیب سے دیکھیں، یہاں تک کہ کچھ بدل جائے۔
الجھانے میں آسان تین فیصلے
داخلہ بتاتا ہے کہ صارف ٹنل بنا سکتا ہے یا نہیں: اسناد، سرٹیفکیٹ اور کوئی بھی دوسرا عامل۔ راستے کا انتخاب بتاتا ہے کہ کلائنٹ کون سی منزلیں اس ٹنل میں بھیجتا ہے۔ اجازت بتاتی ہے کہ ڈکرپٹ شدہ درخواست سروس تک پہنچ سکتی ہے یا نہیں۔ صارف کی بتائی ہوئی خرابی صرف تیسرا پیدا کرتا ہے۔
انہیں الگ پہچاننے کا تیز طریقہ یہ پوچھنا ہے کہ کوئی تبدیلی کیا توڑے گی۔ اسپلٹ فہرست سے راستہ ہٹانے سے اس سب نیٹ کی ٹریفک رک جاتی ہے مگر کچھ ملتا نہیں؛ VPN فلٹر میں ACE شامل کرنے سے منزل ملتی ہے مگر کلائنٹ ٹنل میں کیا بھیجتا ہے وہ نہیں بدلتا۔
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
سیشن کو واقعی ملا فلٹر پڑھیں
جس کنفیگریشن کو آپ لاگو سمجھتے ہیں اس سے نہیں، زندہ سیشن سے شروع کریں۔ show vpn-sessiondb detail anyconnect مختص کردہ گروپ پالیسی اور اس سیشن سے منسلک فلٹر کا نام چھاپتا ہے۔ اگر یہ خانہ خالی ہو تو کوئی فلٹر کچھ لاگو نہیں کر رہا اور رکاوٹ کہیں اور سے آ رہی ہے۔
پھر اس پالیسی کو پڑھیں جس کے پاس قدر ہے، ڈیفالٹ سمیت، کیونکہ فلٹر آپ کی دیکھی ہوئی جگہ لکھا ہونے کے بجائے ورثے میں آ سکتا ہے:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
سیشن پر فلٹر کے نام کا موازنہ اس ACL سے کریں جو آپ نے ابھی ترمیم کیا۔ ملتے جلتے نام والی ACL جو صارف کو کبھی نہیں ملی وہ اس سیشن کی وسائل کی پالیسی نہیں بدل سکتی، اور درست دکھنے والی تبدیلی بے اثر رہنے کی یہی سب سے عام وجہ ہے۔
ترجیح باقی کی وضاحت کرتی ہے۔ فلٹر سیٹنگ کے لیے DAP ریکارڈ صارف نام کی خصوصیات سے بالا ہے، اور صارف نام کی خصوصیات گروپ پالیسی سے بالا ہیں۔ جب سیشن غیر متوقع فلٹر دکھائے تو گروپ کو چھونے سے پہلے اس صارف سے مطابقت رکھنے والی DAP پالیسی تلاش کریں۔
اسپلٹ فہرست اور فلٹر الگ خانے ہیں
ASA 9.x پر گروپ پالیسی split-tunnel-network-list اور vpn-filter کو مختلف سیٹنگز کے طور پر رکھتی ہے، اور 9.22 گروپ پالیسی گائیڈ اسی وجہ سے انہیں الگ الگ درج کرتی ہے۔ نیٹ ورک فہرست کلائنٹ کے لیے روٹنگ اشارہ ہے؛ فلٹر ڈکرپٹ شدہ ٹریفک پر لاگو رسائی کنٹرول فہرست ہے۔
یہ فرق تب اہم ہے جب صارف کو سب نیٹ میں ایک ہی HTTPS سروس درکار ہو۔ پیکٹ ٹنل میں داخل ہوں اس کے لیے سب نیٹ کو اسپلٹ فہرست میں رکھیں، پھر فلٹر میں صرف اسی سروس کی اجازت دیں۔ راستوں کی فہرست پھیلانا کچھ بھی مجاز نہیں کرتا، اور اسے سکیڑنا نفاذ کا طریقہ نہیں۔
دیکھیں کہ انٹرفیس ACL بھی راستے میں ہے یا نہیں
ڈکرپٹ شدہ ریموٹ رسائی ٹریفک ہمیشہ بیرونی انٹرفیس ACL سے نہیں گزرتی جیسا لوگ فرض کرتے ہیں۔ جہاں sysopt connection permit-vpn فعال ہو، وہاں ASA اس ٹریفک کے لیے اپنا درج شدہ VPN بائی پاس لاگو کرتا ہے، جبکہ قابلِ اطلاق VPN فلٹر بعد میں بھی لاگو رہتے ہیں۔ سیٹنگ کو show run all sysopt سے جانچیں، ٹوپولوجی خاکے سے استدلال کرنے کے بجائے۔
بہرحال، منزل کے ہوسٹ کا اپنا فائر وال اور ایپ کی اجازت راستے میں رہتے ہیں۔ TCP 443 کی اجازت دینے والا ASA قاعدہ ایپ کو صارف قبول کرنے پر مجبور نہیں کرتا۔
تبدیلی کو مسترد شدہ کنکشن کے ساتھ بھی قبول کریں
صرف اجازت یافتہ جانچ بہت کم ثابت کرتی ہے، کیونکہ کام کرنے والی ٹنل فلٹر ہو یا نہ ہو وہی پہلا پیکٹ پیدا کرتی ہے۔ کلائنٹ سے مطلوبہ سروس کھولیں، پھر بند رہنے والی منزل آزمائیں اور تصدیق کریں کہ وہ درست وجہ سے ناکام ہوتی ہے۔
ٹکٹ بند کرتے وقت چار حقائق درج کریں: قبول شدہ شناخت، سیشن کو واقعی ملی پالیسی اور فلٹر، اسپلٹ فہرست کی منزلیں، اور وہ وسیلہ جس تک صارف کو پہنچنے کی اجازت تھی۔ یہ چار بتاتے ہیں کہ ٹریفک کہاں کنٹرول ہوتی ہے، راستوں کی فہرست کو فائر وال بنائے بغیر۔
اگر فلٹر اجازت دینے کے بعد بھی سروس انکار کرے تو ہوسٹ کی طرف جائیں: سننے کا پتہ، ہوسٹ فائر وال اور ایپ کی اپنی صارف میپنگ۔ اس وقت ٹنل نے اپنا کام کیا، اور ASA پر مزید تبدیلیاں صرف خطرہ بڑھاتی ہیں۔