Nega ASA'ning TACACS+ so'rovlari filial VPN tunnelidan o'tmaydi

Filial tunneli ishlayapti, foydalanuvchilar masofaviy TACACS+ serverida autentifikatsiyadan o'tmoqda, lekin firewall'ning o'z kirishi hali ham vaqt tugab yakunlanadi. Sabab tunnelda xato emas: LAN-to-LAN tunneli o'z selektorlariga mos trafikni tashiydi, ASA o'zi haqida yaratadigan boshqaruv trafigi esa o'z manba manziliga ega alohida oqim. Aksariyat jamoalar buni o'zgartirish oynasi paytida, yagona administrator hisobi aynan ishlamayotgan paytda aniqlaydi. ASA boshlagan AAA sessiyasini loyihalashingiz kerak bo'lgan oqim sifatida qabul qiling, allaqachon ishlayotgan ulanishning yon ta'siri sifatida emas.

ASA o'zi mijoz, va uning o'z trafigiga o'z yo'li kerak

Firewall TACACS+ serveriga murojaat qilganda, u har qanday boshqa mijoz kabi, faqat hech kim unga ataylab marshrut sozlamagan. Uning paketlari qurilmadagi interfeys manzilidan chiqadi, ular uzatilmaydi, mahalliy ravishda yaratiladi va foydalanuvchi trafigi kabi marshrutlanishi, tarjima qilinishi va siyosat bilan himoyalanishi kerak. Foydalanuvchi quyi tarmog'ini himoya qiladigan saytdan-saytga tunnel bu boshqaruv manbasini avtomatik himoya qilmaydi, chunki trafik tanlovi manzillarga asoslanadi, niyatga emas.

Server ko'radigan deb kutgan manzilingizni yozib qo'ying. Agar uni bir satrda ayta olmasangiz, hali loyihangiz yo'q.

aaa-server satridagi interfeys bezak emas

ASA'da aaa-server host yozuvi qavs ichida interfeys bog'lanishini oladi, va Cisco'ning AAA host buyruqlari ma'lumotnomasi uni autentifikatsiya serveri joylashgan interfeys deb ta'riflaydi. Aynan shu bog'lanish so'rovni interfeysga va shu interfeys qo'llaydigan siyosatga bog'laydi. Uni internetga qaragan har qanday interfeys bo'yicha tanlash yoki oxirgi migratsiyadan qolganini qoldirish, masofaviy server va tunnel hech qachon qurilmagan manba manzilini beradi.

inside faqat nomlangan interfeys loyihangiz manba sifatida ishlatmoqchi bo'lgan manzilga ega bo'lganda to'g'ri javob bo'ladi. Filial qurilmasida bu ko'pincha shunday; bir nechta xususiy segmentli qurilmada unday bo'lmasligi mumkin.

Bog'lanishni o'zgartirish yozuvni qayta yaratishni anglatadi

Xuddi shu buyruqlar ma'lumotnomasi o'tishlar paytida odamlarni ushlaydigan tahrirlash cheklovini hujjatlashtiradi: mavjud hostdagi interfeysni o'zgartirish host yozuvini olib tashlab, qayta yaratishni talab qiladi. Tahrirlangandek ko'rinadigan konfiguratsiya kuchga kirmagan bo'lishi mumkin, va keyingi kirish urinishi baribir eski manzildan chiqadi. Buni joyida tuzatish emas, asl yozuv nusxasi ko'z oldingizda turib o'chirish va qo'shish sifatida rejalashtiring.

Agar bir nechta server aniqlangan bo'lsa, bittasini o'zgartirib, qolganlariga tegishdan oldin uni sinab ko'ring, bir xato barcha ma'muriy yo'llarni bir vaqtda qulflamasin.

Selektorlar, tarjima va qaytish yo'lini birga tekshiring

So'rov yetib borishi uchun uch narsa mos kelishi kerak. Tunnelning trafik selektorlari yoki tunnel-interfeys himoyasi, agar ishlatsangiz, ASA'ning o'z manbasini va server manzilini o'z ichiga olishi kerak; foydalanuvchi quyi tarmoqlari uchun qurilgan selektorlar ro'yxati odatda buni qilmaydi. Yo'ldagi har qanday NAT qoidasi bu manbani izchil tarjima qilishi kerak, chunki server o'zi ko'radigan manzilni o'z ichiga olgan tarmoq qurilmasi identitetini avtorizatsiya qiladi. Va qaytish yo'li mavjud bo'lishi kerak, bu siyosatga asoslangan tunnelda qarshi tomonda qarama-qarshi yo'nalishda mos selektor borligini bildiradi.

Server tomonida qurilma identitetini, umumiy sirni va ma'muriy siyosatni alohida tasdiqlang. TACACS+ autentifikatsiya, avtorizatsiya va hisobni alohida operatsiyalar sifatida saqlaydi, shuning uchun tugallangan almashinuvdan keyin keladigan rad javobi siyosat javobi, transport nosozligi emas. Uni tarmoq muammosi deb o'qish sizni noto'g'ri joydan qidirishga yuboradi.

Nosozliklarni tuzatish paytida sirni paket ushlashlari, chiptalar va transkriptlardan tashqarida saqlang, va server qayd qiladigan manba manzil loyihangiz tushuntirishi kerak bo'lgan manzil ekanini unutmang.

O'zingizni tashqarida qulflamasdan o'zgartirishni bajaring

Masofaviy ma'muriy autentifikatsiyani o'zgartirganda konsol yoki mustaqil boshqaruv yo'lidan foydalaning, va yangi yo'l haqiqiy kirishni o'tkazmaguncha tasdiqlangan mahalliy zaxira variantni saqlang. Keyin tor doirada tekshiring: bitta server, bitta qurilma, ikki tomonda kuzatilgan manba manzili bilan bitta muvaffaqiyatli autentifikatsiya.

Oqimni o'z sahifasida qayd eting: manba interfeysi va manzili, masofaviy server, himoyalangan yo'l va avtorizatsiya siyosati egasi bo'lgan shaxs. Shunda keyingi interfeys yoki tunnel o'zgarishi ikki oqimdan qaysi biriga ta'sir qilishini taxmin qilmasdan baholash mumkin.