VPN giữa các site hoạt động nhưng nhật ký ASA không đến: kiểm tra địa chỉ nguồn

Các máy chủ bên trong đến được bộ thu thập từ xa và các dòng syslog của chúng xuất hiện. Các thông điệp của chính ASA về cùng những phiên đó không bao giờ đến. Bộ thu thập hay đường hầm đều không có gì sai, và đó chính là phần gây khó hiểu. Tường lửa đang gửi nhật ký từ một nguồn mà đường hầm chưa bao giờ được dựng để bảo vệ.

Cái gì đến và cái gì không

Bắt đầu bằng việc tách hai luồng trông giống hệt nhau trên bảng điều khiển. Lưu lượng được chuyển tiếp đi qua ASA: một máy chủ LAN gửi đến bộ thu thập, ASA đối chiếu với chính sách đường hầm, mã hóa và bộ thu thập thấy địa chỉ của máy chủ. Lưu lượng được tạo ra bắt đầu trên chính ASA: thiết bị dựng một gói syslog, chọn giao diện ra và nguồn rồi mới hỏi liệu có chính sách đường hầm nào khớp không. Luồng đầu chứng minh đường hầm hoạt động và không nói gì về luồng thứ hai.

Một sự kiện được đệm trên thiết bị cũng không phải bằng chứng cho việc gửi đi từ xa, vì nhật ký có thể tồn tại cục bộ và chưa bao giờ được truyền. Hãy kiểm tra bộ đếm nhận của bộ thu thập trước khi đổ lỗi cho đường hầm, vì bộ đếm rỗng là một phát hiện khác với bộ đếm đang tăng.

Thông điệp được tạo ra không phải lưu lượng được chuyển tiếp

Khi ASA tự tạo một gói, nó không đóng vai trò proxy cho máy chủ LAN. Nguồn đến từ giao diện ra hoặc từ một cài đặt nguồn rõ ràng, và gói đi vào cùng một lần tra cứu tuyến và cùng các kiểm tra chính sách như mọi thứ khác mà thiết bị gửi. Điều đó có nghĩa là bộ chọn VPN phải bao gồm địa chỉ mà ASA thực sự dùng, và đó thường là giao diện bên ngoài chứ không phải một mạng con bên trong.

Nếu chính sách bảo vệ 10.20.0.0/24 và ASA dùng địa chỉ bên ngoài của nó làm nguồn, gói nhật ký hoặc ra đi dưới dạng văn bản rõ tới một bộ thu thập mà nó không thể đến được, hoặc bị loại bỏ. Cả hai kết quả trông giống nhau từ phía bộ thu thập. Lập luận tương tự áp dụng cho lưu lượng quản trị, vì vậy management-access là một quyết định thiết kế riêng.

ASA đặt nguồn nào lên mạng

Tìm nguồn bằng thực nghiệm chứ không phải phỏng đoán. Việc bắt gói trên giao diện ra trong một thông điệp thử nghiệm cho thấy nguồn và đích thực tế, và tốn ít thời gian hơn so với việc đọc ba phần cấu hình. Hãy so sánh địa chỉ đó với bộ chọn cục bộ của đường hầm.

Một số bản phát hành cho phép ghim nguồn nhật ký vào một giao diện, và tài liệu lệnh cho phiên bản của bạn là cơ sở xác định xem tùy chọn đó có tồn tại không và nó thay đổi điều gì. Lệnh source-interface từ một nền tảng Cisco khác không tự động có hiệu lực trên ASA.

Nếu bạn thay đổi nguồn, hãy làm một cách có chủ đích và ghi lại, vì ACL của bộ thu thập và mọi tương quan dựa trên syslog đều phụ thuộc vào nó.

Khớp bộ chọn với luồng nhật ký

Khi đã biết nguồn, hãy kiểm tra ba điều theo thứ tự: ACL mã hóa hoặc bộ chọn dựa trên chính sách quyết định lưu lượng nào là đáng quan tâm, tuyến quyết định gói đi đâu, và mọi quy tắc NAT có thể viết lại nguồn trước khi mã hóa. Một gói khớp tuyến nhưng không khớp bộ chọn thì không được đưa vào đường hầm, và một gói bị NAT viết lại có thể không khớp với cả hai.

Phía bộ thu thập có những yêu cầu riêng: một ACL cho phép nguồn của ASA, một tuyến quay về và một dịch vụ lắng nghe trên cổng bạn đã cấu hình. Việc vận chuyển cũng quan trọng ở đây, vì ghi nhật ký qua TCP và TLS hành xử khác với UDP trên một đường đi bị chặn một phần. Hãy thay đổi từng yếu tố một, nếu không lần bắt gói tiếp theo sẽ không cho bạn biết thay đổi nào quan trọng.

Xác minh tại bộ thu thập, rồi ghi lại nguồn

Xác nhận thông điệp đến, sau đó ghi lại địa chỉ nguồn mà ASA đã dùng, bộ chọn đã mang nó và mức độ nghiêm trọng bạn đã thử nghiệm.

Bản ghi đó biến lần thay đổi ACL của bộ thu thập hoặc chỉnh sửa bộ chọn tiếp theo thành một kiểm tra hai phút thay vì phải khám phá lại. Nó cũng ghi lại luồng nào trong hai luồng từng được xác thực, và đó là phần mà hầu hết runbook bỏ qua. Nếu thông điệp vẫn không đến, hãy tạm thời hạ ngưỡng nghiêm trọng và thử với một đích duy nhất.

Câu hỏi thường gặp về ghi nhật ký ASA của Cisco ghi lại một trường hợp có nguồn bên ngoài cần định nghĩa lưu lượng được bảo vệ tương ứng, và ví dụ nguồn bên trong của họ bao gồm cả máy chủ ghi nhật ký bên trong và management-access bên trong. Hãy xử lý tổ hợp được ghi lại và bối cảnh phần mềm cùng nhau, thay vì cho rằng một dòng sao chép vừa với mọi cấu hình.

Một đường hầm mang lưu lượng LAN không phải là đường hầm mang chính tiếng nói của tường lửa.