Vì sao các yêu cầu TACACS+ của chính ASA bỏ qua tunnel VPN chi nhánh của bạn

Tunnel chi nhánh đang hoạt động, người dùng xác thực với máy chủ TACACS+ từ xa, và đăng nhập của chính tường lửa vẫn hết thời gian chờ. Nguyên nhân không phải lỗi trong tunnel: tunnel LAN-to-LAN chỉ mang lưu lượng khớp với bộ chọn của nó, còn lưu lượng quản trị mà ASA tạo ra về chính nó là một luồng riêng với địa chỉ nguồn riêng. Hầu hết các nhóm phát hiện điều này trong một cửa sổ thay đổi, khi tài khoản quản trị duy nhất chính là tài khoản đang lỗi. Hãy coi phiên AAA do ASA khởi tạo là một luồng bạn phải thiết kế, không phải tác dụng phụ của kết nối đã hoạt động.

ASA là máy khách, và lưu lượng của chính nó cần đường đi riêng

Khi tường lửa liên hệ với máy chủ TACACS+, tường lửa là một máy khách như mọi máy khách khác, chỉ khác là không ai cố ý cấu hình tuyến cho nó. Các gói của nó phát sinh từ một địa chỉ giao diện trên thiết bị, chúng được tạo cục bộ thay vì được chuyển tiếp, và chúng phải được định tuyến, dịch và bảo vệ bằng chính sách giống như lưu lượng người dùng. Một tunnel site-to-site bảo vệ subnet người dùng không tự động bảo vệ nguồn quản trị đó, vì việc chọn lưu lượng dựa trên địa chỉ chứ không dựa trên ý định.

Hãy ghi lại địa chỉ mà bạn mong máy chủ sẽ thấy. Nếu bạn không thể nói trong một dòng, bạn chưa có thiết kế.

Giao diện trong dòng aaa-server không phải là đồ trang trí

Trên ASA, mục máy chủ aaa-server nhận một liên kết giao diện trong ngoặc đơn, và tài liệu tham chiếu lệnh máy chủ AAA của Cisco mô tả nó là giao diện nơi máy chủ xác thực nằm. Chính liên kết đó gắn yêu cầu với một giao diện và với chính sách mà giao diện đó áp dụng. Chọn nó theo bất kỳ giao diện nào hướng ra internet, hoặc để nguyên những gì còn lại từ lần di chuyển trước, sẽ tạo ra một địa chỉ nguồn mà máy chủ từ xa và tunnel chưa bao giờ được xây dựng cho nó.

inside chỉ là câu trả lời đúng khi giao diện được nêu giữ địa chỉ mà thiết kế của bạn định dùng làm nguồn. Trên thiết bị chi nhánh điều đó thường đúng; trên thiết bị có nhiều phân đoạn riêng có thể không.

Thay đổi liên kết nghĩa là tạo lại mục

Cùng tài liệu tham chiếu ghi lại một ràng buộc chỉnh sửa khiến người ta mắc kẹt khi chuyển đổi: thay đổi giao diện trên một máy chủ hiện có đòi hỏi phải xóa và tạo lại mục máy chủ. Một cấu hình trông như đã sửa có thể chưa có hiệu lực, và lần đăng nhập tiếp theo vẫn đi ra từ địa chỉ cũ. Hãy lên kế hoạch như một lần xóa và thêm với bản sao của mục gốc trước mặt, không phải như một chỉnh sửa tại chỗ.

Nếu có nhiều máy chủ được định nghĩa, hãy thay đổi một cái và kiểm thử nó trước khi chạm vào những cái còn lại, để một sai sót không khóa tất cả các đường quản trị cùng lúc.

Kiểm tra bộ chọn, dịch địa chỉ và đường trả về cùng nhau

Ba điều phải khớp để yêu cầu đến nơi. Bộ chọn lưu lượng của tunnel, hoặc bảo vệ giao diện tunnel nếu bạn dùng một cái, phải bao gồm nguồn của chính ASA và địa chỉ máy chủ; danh sách bộ chọn xây cho subnet người dùng thường không làm được điều đó. Mọi quy tắc NAT trên đường đi phải dịch nguồn đó một cách nhất quán, vì máy chủ cấp quyền cho danh tính thiết bị mạng bao gồm địa chỉ mà nó thấy. Và đường trả về phải tồn tại, điều mà trên tunnel dựa trên chính sách nghĩa là đầu xa có bộ chọn khớp ở chiều ngược lại.

Về phía máy chủ, hãy xác nhận riêng danh tính thiết bị, khóa bí mật chia sẻ và chính sách quản trị. TACACS+ giữ xác thực, cấp quyền và kế toán là các thao tác riêng biệt, nên một lần từ chối đến sau khi trao đổi hoàn tất là câu trả lời của chính sách, không phải lỗi truyền tải. Đọc nó như sự cố mạng sẽ khiến bạn tìm sai chỗ.

Giữ khóa bí mật ngoài các bản bắt gói, phiếu và bản ghi trong khi gỡ lỗi, và nhớ rằng địa chỉ nguồn mà máy chủ ghi lại chính là địa chỉ mà thiết kế của bạn phải giải thích.

Thực hiện thay đổi mà không tự khóa mình ra ngoài

Dùng console hoặc một đường quản trị độc lập trong khi thay đổi xác thực quản trị từ xa, và giữ một phương án dự phòng cục bộ đã được phê duyệt cho đến khi đường mới đã mang một lần đăng nhập thật. Sau đó xác thực theo phạm vi hẹp: một máy chủ, một thiết bị, một lần xác thực thành công với địa chỉ nguồn được quan sát ở cả hai đầu.

Ghi lại luồng trên trang riêng của nó: giao diện và địa chỉ khởi nguồn, máy chủ từ xa, đường được bảo vệ và người sở hữu chính sách cấp quyền. Khi đó một thay đổi giao diện hoặc tunnel sau này có thể được đánh giá mà không phải đoán luồng nào trong hai luồng bị ảnh hưởng.