VPN shifrni ochgandan keyin qaysi ASA qoidasi trafikni ko'radi

Birinchi voz kechish kerak bo'lgan taxmin — kripto ACL kirish siyosati degan fikr. Unday emas. Cisco ASA'da bu ro'yxat bitta tor savolga javob beradi: qaysi paketlar himoyaga loyiq, va bu javob shifri ochilgan paketning xavfsizlik devori orqasidagi serverga yetib borish-bormasligi haqida hech narsa demaydi. Kirish keyinroq hal qilinadi — interfeys siyosati, guruh siyosati filtri yoki ikkalasi bilan, tunnel qanday qurilganiga qarab.

Kripto ACL boshqa savolga javob beradi

Kripto ACL moslik ro'yxati. U tunnelga ikki tomon o'rtasida nima shifrlanishini aytadi; unga mos kelmaydigan paket shunchaki himoyalanmaydi. Uni kengaytirish himoya qamrovini o'zgartiradi, boshqa hech narsani emas.

Shuning uchun u yerga subnet qo'shish tunnelni ko'tarishi mumkin, ammo haqiqiy dastur hali ham ishlamaydi. Tunnel ko'tarilgan, chunki endi moslik bor. Dastur ishlamayapti, chunki bu ro'yxatda hech narsa hech narsaga ruxsat bermaydi. Ikki xil savol, ikki xil ro'yxat.

Chetlab o'tish sozlamasi aslida nimani o'tkazib yuboradi

sysopt connection permit-vpn himoyalangan trafikka kiruvchi tomonda aks holda amal qiladigan interfeys ACL tekshiruvini o'tkazib yuborishga imkon beradi. Bu VPN joylashtirishlari uchun qulaylik, va u global. Guruh siyosatiga tegmaydi va har bir foydalanuvchi uchun avtorizatsiya filtriga ham tegmaydi.

Taxmin o'rniga haqiqiy qiymatni o'qing: show running-config all sysopt sozlamani hech qachon aniq sozlanmagan bo'lsa ham chop etadi, va ko'p chalkashlik shu yerdan boshlanadi.

Sozlama global bo'lgani uchun uni bitta ishlamayotgan subnetda tezkor tajriba sifatida sinash yomon almashinuv. O'sha xavfsizlik devoridagi har bir boshqa tunnel natijani baham ko'radi. Uni orqaga qaytarish rejasi bilan qasddan qilingan o'zgarish uchun saqlang.

Filtrni shifr ochish yo'nalishida o'qing

LAN-to-LAN vpn-filter interfeys emas, tunnel nuqtai nazaridan yoziladi. Shifr ochilgandan keyin paket shunday ko'ringani uchun uzoq tarmoq manba o'rnida, mahalliy tarmoq esa manzil o'rnida turadi. Keyin o'sha filtr shifrlashdan oldin qarama-qarshi yo'nalishda yana baholanadi, manzil rollari teskari bo'ladi.

Port shartlari ko'chirilgan interfeys ACL'idan ko'ra ko'proq ehtiyotkorlikka loyiq, aynan shu sababdan. Bitta manzil portiga ruxsat beruvchi qoida qarama-qarshi yo'nalishda kutilmagan ta'sir ko'rsatishi mumkin, u yerda yangi ulanish o'sha portni o'z manbasi sifatida ishlatadi. Ro'yxatni qurishdan oldin qaysi tomon boshlashi mumkinligini, haqiqiy xizmatni va yopiq qolishi kerak bo'lgan qarshi tomonni yozib qo'ying.

Qaysi filtr haqiqatda biriktirilganini tasdiqlang: show running-config group-policy va show vpn-sessiondb detail l2l birgalikda sessiya nima meros olganini aytadi. Hech bir siyosat havola qilmaydigan ACL'ni tahrirlash hech narsani o'zgartirmaydi.

Bitta ACL obyektini ikki ish uchun qayta ishlatmang

Interfeys access-group va vpn-filter bir xil turdagi obyektga o'xshaydi va turli nuqtalarda turli manzil yo'nalishi bilan baholanadi. Bitta ro'yxatni ikkalasiga berish tunnelni tuzatib, jismoniy interfeysni jimgina bo'shashtiradigan o'zgarishga chorlaydi.

Ularni alohida tuting, ishiga qarab nomlang va yo'nalish farqi nomlarda ko'rinib tursin.

Yangi ulanishlar bilan, ikkala yo'nalishda ham tekshiring

Rejalashtirilgan o'zgarishdan keyin ruxsat berilishi kerak bo'lgan bitta yangi ulanish va rad etilishi kerak bo'lgan bitta yangi ulanish oching, so'ng manzillar, yo'nalish va siyosat mosligini natija bilan birga yozib qo'ying. O'rnatilgan sessiya yangi ulanishlarni filtrlash haqida hech narsani isbotlamaydi, chunki u eski qoidalar asosida allaqachon kiritilgan.

Tekshiruvni ham hisobga oling. Vendor hujjatlari VPN filtri tekshiruv dvigateli ochadigan har bir ikkilamchi ulanishni emas, boshlang'ich ulanishni tekshirishini qayd etadi, shuning uchun boshqaruv kanali va unga bog'liq media oqimi boshqacha munosabat olishi mumkin. Dastur protokolni bilsa, bitta port zondi o'rniga haqiqiy oqimni sinab ko'ring.

Keng chetlashdan keyin yaroqli bo'lgan tunnel cheklov olib tashlanganini aytadi, u bajarilganini emas. Saqlashga arziydigan natija — keyingi ko'rikda ko'rsatishingiz mumkin bo'lgan nomlangan ijro nuqtasi.