Saytlar orasidagi VPN ishlaydi, lekin ASA jurnallari kelmaydi: manba manzilini tekshiring

Ichki xostlar uzoq yig‘uvchiga yetib boradi va ularning syslog satrlari ko‘rinadi. Xuddi shu sessiyalar haqidagi ASA ning o‘z xabarlari hech qachon kelmaydi. Yig‘uvchida ham, tunnelda ham hech qanday xato yo‘q, va aynan shu chalkashtiradi. Xavfsizlik devori jurnallarini tunnel hech qachon himoya qilish uchun qurilmagan manbadan yubormoqda.

Nima keladi va nima kelmaydi

Paneldagi bir xil ko‘rinadigan ikki oqimni ajratishdan boshlang. Yo‘naltirilgan trafik ASA orqali o‘tadi: LAN xosti yig‘uvchiga yuboradi, ASA uni tunnel siyosati bilan solishtiradi, shifrlaydi, yig‘uvchi xost manzilini ko‘radi. Yaratilgan trafik ASA ning o‘zida boshlanadi: qurilma syslog paketini tuzadi, chiqish interfeysi va manbani tanlaydi, shundan keyingina qandaydir tunnel siyosati mos keladimi deb so‘raydi. Birinchi oqim tunnel ishlashini isbotlaydi va ikkinchisi haqida hech narsa demaydi.

Qurilmada buferlangan hodisa ham uzoqdan yetkazishning isboti emas, chunki jurnal lokalda mavjud bo‘lib, hech qachon yuborilmagan bo‘lishi mumkin. Tunnelni ayblashdan oldin yig‘uvchining qabul hisoblagichlarini tekshiring, chunki bo‘sh hisoblagich o‘sib borayotgan hisoblagichdan boshqa xulosa.

Yaratilgan xabar yo‘naltirilgan trafik emas

ASA paketni o‘zi yaratganda, u LAN xostining proksisi bo‘lib ishlamaydi. Manba chiqish interfeysidan yoki aniq manba sozlamasidan keladi, paket qurilma yuboradigan boshqa hamma narsa kabi bir xil marshrut qidiruvi va siyosat tekshiruvlariga kiradi. Bu VPN selektori ASA haqiqatda ishlatadigan manzilni o‘z ichiga olishi kerakligini bildiradi, va bu ko‘pincha uning tashqi interfeysi, ichki quyi tarmoq emas.

Agar siyosat 10.20.0.0/24 ni himoya qilsa va ASA manba sifatida tashqi manzilini ishlatsa, jurnal paketi yoki yetib bo‘lmaydigan yig‘uvchi tomon ochiq matnda chiqadi, yoki tashlab yuboriladi. Ikkala natija ham yig‘uvchi tomonidan bir xil ko‘rinadi. Xuddi shu mantiq boshqaruv trafigiga ham tegishli, shuning uchun management-access alohida dizayn qarori.

ASA tarmoqqa qaysi manbani qo‘yadi

Manbani taxmin bilan emas, tajriba bilan toping. Sinov xabari paytida chiqish interfeysida ushlash haqiqiy manba va manzilni ko‘rsatadi, va bu konfiguratsiyaning uch bo‘limini o‘qishdan kamroq vaqt oladi. O‘sha manzilni tunnelning lokal selektori bilan solishtiring.

Ba’zi versiyalar jurnal manbasini interfeysga bog‘lashga ruxsat beradi, va sizning versiyangiz uchun buyruqlar ma’lumotnomasi bu variant mavjudmi va nima o‘zgartiradi degan savolga hokimiyatdir. Boshqa Cisco platformasining source-interface buyrug‘i ASA da avtomatik amal qilmaydi.

Agar manbani o‘zgartirsangiz, buni ataylab qiling va yozib qo‘ying, chunki yig‘uvchining ACL lari va syslog asosidagi har qanday korrelyatsiya unga bog‘liq.

Selektorni jurnal oqimiga moslang

Manba ma’lum bo‘lgach, uchta narsani ketma-ket tekshiring: qaysi trafik qiziqarli ekanini hal qiladigan kripto ACL yoki siyosatga asoslangan selektor, paket qayerga ketishini hal qiladigan marshrut va shifrlashdan oldin manbani qayta yozishi mumkin bo‘lgan har qanday NAT qoidasi. Marshrutga mos keladigan, lekin selektorga mos kelmaydigan paket tunneldan o‘tmaydi, NAT qayta yozgan paket esa ikkalasiga ham mos kelmasligi mumkin.

Yig‘uvchi tomonining o‘z talablari bor: ASA manbasiga ruxsat beradigan ACL, qaytish marshruti va siz sozlagan portda tinglaydigan xizmat. Transport bu yerda ham muhim, chunki qisman bloklangan yo‘lda TCP va TLS jurnallash UDP dan boshqacha harakat qiladi. Bir vaqtda bitta elementni o‘zgartiring, aks holda keyingi ushlash qaysi o‘zgarish muhim bo‘lganini aytmaydi.

Yig‘uvchida tekshiring, so‘ng manbani yozib qo‘ying

Xabar kelishini tasdiqlang, so‘ng ASA ishlatgan manba manzilini, uni olib yurgan selektorni va sinov o‘tkazgan jiddiylik darajasini yozing.

Bu yozuv yig‘uvchining keyingi ACL o‘zgarishini yoki selektorni tahrirlashni qayta kashf qilish o‘rniga ikki daqiqalik tekshiruvga aylantiradi. Shuningdek, ikki oqimdan qaysi biri qachonlardir tekshirilganini hujjatlashtiradi, va aynan shu qismni ko‘p qo‘llanmalar tashlab ketadi. Agar xabar hali ham kelmasa, jiddiylik chegarasini vaqtincha pasaytiring va bitta manzil bo‘yicha sinang.

Cisco ning ASA jurnallash bo‘yicha ko‘p so‘raladigan savollari tashqi manbaga ega va tegishli himoyalangan trafik ta’rifini talab qiladigan holatni hujjatlashtiradi, va ularning ichki manbali misoli ichkarida jurnal xostini ham, ichkarida management-access ni ham o‘z ichiga oladi. Hujjatlashtirilgan kombinatsiya va dasturiy ta’minot kontekstini birga ko‘rib chiqing, bitta ko‘chirilgan satr har bir konfiguratsiyaga mos keladi deb o‘ylamang.

LAN trafigini tashuvchi tunnel xavfsizlik devorining o‘z ovozini tashuvchi tunnel emas.