VPN quyi tarmog‘i ASA interfeysining xavfsizlik darajasini meros oladimi?

Kimdir filialning VPN quyi tarmog‘i ASA’da «xavfsizlik darajasi 0 yoki 100» ga ega ekanligini so‘raydi, va savol allaqachon xatoni o‘z ichiga oladi. Xavfsizlik darajasi mahalliy interfeysning xususiyati bo‘lib, interfeys konfiguratsiyasida 0 dan 100 gacha belgilanadi. Tunnel orqali keladigan masofaviy quyi tarmoq uni olmaydi, crypto map qanday yozilgan bo‘lishidan qat’i nazar. Shuning uchun savolning raqamli javobi yo‘q.

Amaliy keyingi savol yaxshiroq: qaysi siyosat filialni serverga o‘tkazadi va qaysi biri uni o‘z xavfsizlik devoridan uzoqda tutadi. Bu ikki javob, va quyidagi tartib ularni ajratadi.

Xavfsizlik darajalari interfeyslarga tegishli

show running-config interface ni ishga tushiring va har bir jismoniy yoki VLAN interfeys ostida security-level ni ko‘rasiz, tunnel guruhi yoki crypto map ostida emas. Yuqoridan pastga standart ruxsat o‘sha interfeyslar orasida baholanadi, shuning uchun raqam o‘zi tegishli yo‘lda tekshiruv va yashirin ACL xatti-harakatini o‘zgartiradi.

Shifrlangan VPN oqimi uchun kirish hali ham tunnel tugaydigan outside interfeys, chiqish esa serverga qarab inside interfeysdir. Biror narsaga tegishdan oldin ikkalasini yozib qo‘ying. O‘sha bir qadam chalkashlikning ko‘p qismini yo‘q qiladi, chunki mavhum ishonch savolini interfeys juftligiga aylantiradi.

ACL ni chetlab o‘tishning nomlangan chegarasi bor

sysopt connection permit-vpn — odamlar VPN trafigi ACL larni e’tiborsiz qoldiradi deganda yarim eslab qoladigan sozlama. U VPN trafigi deb hisoblangan trafik uchun interfeys ACL sini haqiqatan o‘tkazib yuboradi, va 9.x parametr qo‘llanmasi uni global istisno e’lon qilish o‘rniga interfeys va yo‘nalish bo‘yicha cheklaydi.

Xotiradan fikr yuritishdan oldin nima sozlanganini tekshiring:

• show running-config all sysopt haqiqiy qiymatni ko‘rish uchun, faqat standart bo‘lmagan satrlarni emas.
• show running-config access-group qaysi ACL qaysi interfeys va yo‘nalishga qo‘llanilganini ko‘rish uchun.
• show vpn-sessiondb detail l2l sessiya haqiqatan qaysi tunnel guruhi va filtrdan foydalanishini tasdiqlash uchun.

VPN ruxsatini qattiqlashtirish uchun bu sozlamani o‘chirish katta ta’sirli o‘zgarish. U har bir mos VPN oqimini yana tashqi ACL ga bo‘ysundiradi, bu odatda ishlayotgan tunnellarni sizdan so‘ralgan filialga aloqasi bo‘lmagan usullarda buzadi.

Sessiyaga biriktirilgan filtrni o‘qing

Har bir tunnel uchun haqiqiy nazorat VPN filtr: guruh siyosati yoki foydalanuvchi nomi havola qiladigan ACL, deshifrlashdan keyin va shifrlashdan oldin qo‘llaniladi. Foydalanuvchi darajasidagi filtr guruh darajasidagi qiymatni bekor qiladi, shuning uchun bir tunnel guruhidagi ikki kishining samarali ruxsati boshqacha bo‘lishi mumkin.

Ustuvorlikni taxmin qilish o‘rniga tasdiqlang. show running-config group-policy <name> guruh qiymatini ko‘rsatadi, show running-config username <name> esa har bir foydalanuvchi uchun qiymat bor-yo‘qligini ko‘rsatadi. Agar ikkalasi ham bo‘lsa, foydalanuvchi qiymati g‘olib bo‘ladi. Keyin o‘sha ACL yozuvlarini sizni qiziqtirgan oqim bilan, filtr baholaydigan yo‘nalishda solishtiring.

Ilova serveriga ruxsat beradigan filtr boshqaruv haqida hech narsa demaydi. Ular alohida yo‘ldagi alohida qoidalardir.

Bitta ruxsat va bitta rad etishni tekshiring

Foydalanuvchi xabarini kutmasdan qarorni ko‘rishning eng tez usuli — Packet-tracer. Unga deshifrlangan tomon oqimini bering va u o‘tadigan ACL, NAT va tekshiruv bosqichlarini nomlashiga ruxsat bering.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Natija satrini o‘qing: u paketga ruxsat bergan yoki uni tashlagan ACL ni nomlaydi.
3. inside interfeysdagi boshqaruv manzili bilan takrorlang va rad etishni tasdiqlang.
4. Har qanday o‘zgarishdan keyin yana bir marta takrorlang, shunda oldingi va keyingi holat ikkalasi ham yozib olinadi.

Keyin haqiqiy trafik bilan tekshiring: filialdan bitta muvaffaqiyatli ilova so‘rovi va ASA ga bitta muvaffaqiyatsiz SSH urinishi. Packet-tracer yo‘lni modellashtiradi; jonli oqim model mos kelganini isbotlaydi.

Uni ishlashga majbur qilgan o‘zgarishni qaytaring

Agar yechim ACL ni chetlab o‘tishni o‘chirish yoki filtrni kengaytirish bo‘lsa, oldingi konfiguratsiyani saqlang. O‘zgarishdan oldin saqlangan ta’sirlangan obyektlarning show run surati ularni tiklash uchun yetarli; ASA konfiguratsiyasi satrga asoslangan, shuning uchun qaytarish eski satrlarni qayta kiritishni anglatadi, faylni tiklashni emas.

Interfeys juftligini, amaldagi filtrni, packet-tracer dan olingan ACL nomini va o‘zgartirgan aniq buyruqlaringizni yozib oling. Bu yozuv keyingi ko‘rib chiqishni ishonch darajalari haqidagi yana bir bahs o‘rniga besh daqiqalik tekshiruvga aylantiradi.