Mạng con VPN có thừa hưởng mức bảo mật của giao diện ASA không?

Ai đó hỏi liệu mạng con VPN của chi nhánh có «mức bảo mật 0 hoặc 100» trên ASA không, và câu hỏi đã chứa lỗi ngay từ đầu. Mức bảo mật là thuộc tính của một giao diện cục bộ, được gán từ 0 đến 100 trong cấu hình giao diện. Một mạng con từ xa đến qua đường hầm không nhận được mức nào, bất kể crypto map được viết thế nào. Vì vậy câu hỏi không có câu trả lời bằng số.

Câu hỏi thực tế tiếp theo tốt hơn: chính sách nào cho phép chi nhánh đến máy chủ, và chính sách nào giữ nó tránh xa chính tường lửa. Đó là hai câu trả lời, và quy trình bên dưới tách chúng ra.

Mức bảo mật thuộc về các giao diện

Chạy show running-config interface và bạn sẽ thấy security-level dưới mỗi giao diện vật lý hoặc giao diện VLAN, không phải dưới nhóm đường hầm hay crypto map. Quyền mặc định từ cao xuống thấp được đánh giá giữa các giao diện đó, đó là lý do con số thay đổi hành vi kiểm tra và ACL ngầm trên đường đi mà nó thuộc về.

Với một luồng VPN đã giải mã, lối vào vẫn là giao diện outside nơi đường hầm kết thúc, và lối ra là giao diện inside hướng tới máy chủ. Ghi lại cả hai trước khi chạm vào bất cứ thứ gì. Một bước đó loại bỏ phần lớn sự nhầm lẫn, vì nó biến một câu hỏi tin cậy trừu tượng thành một cặp giao diện.

Việc bỏ qua ACL có một ranh giới được đặt tên

sysopt connection permit-vpn là cài đặt mà người ta nhớ mang máng khi nói rằng lưu lượng VPN bỏ qua ACL. Nó thực sự bỏ qua ACL của giao diện cho lưu lượng đủ điều kiện là lưu lượng VPN, và hướng dẫn tham số 9.x giới hạn nó theo giao diện và hướng thay vì tuyên bố một ngoại lệ toàn cầu.

Kiểm tra những gì đã được cấu hình trước khi suy luận từ trí nhớ:

• show running-config all sysopt để xem giá trị thực tế, không chỉ các dòng không phải mặc định.
• show running-config access-group để xem ACL nào được áp dụng cho giao diện và hướng nào.
• show vpn-sessiondb detail l2l để xác nhận phiên thực sự dùng nhóm đường hầm và bộ lọc nào.

Tắt cài đặt đó để siết chặt quyền truy cập VPN là một thay đổi có ảnh hưởng rộng. Nó đưa mọi luồng VPN đủ điều kiện trở lại dưới ACL bên ngoài, điều thường phá vỡ các đường hầm đang hoạt động theo những cách không liên quan đến chi nhánh mà bạn được hỏi.

Đọc bộ lọc gắn với phiên

Kiểm soát thực sự cho mỗi đường hầm là bộ lọc VPN: một ACL được chính sách nhóm hoặc tên người dùng tham chiếu, được áp dụng sau khi giải mã và trước khi mã hóa. Bộ lọc cấp người dùng ghi đè giá trị cấp nhóm, vì vậy hai người trong cùng một nhóm đường hầm có thể có quyền truy cập thực tế khác nhau.

Xác nhận thứ tự ưu tiên thay vì giả định nó. show running-config group-policy <name> hiển thị giá trị của nhóm, và show running-config username <name> hiển thị liệu có giá trị cho từng người dùng hay không. Nếu cả hai đều tồn tại, giá trị của người dùng thắng. Sau đó so sánh các mục của ACL đó với luồng bạn quan tâm, theo hướng mà bộ lọc đánh giá.

Một bộ lọc cho phép máy chủ ứng dụng không nói gì về quản trị. Đó là các quy tắc riêng trên một đường đi riêng.

Xác minh một lần cho phép và một lần từ chối

Packet-tracer là cách nhanh nhất để xem quyết định mà không phải chờ người dùng báo cáo. Cung cấp cho nó luồng từ phía đã giải mã và để nó gọi tên các giai đoạn ACL, NAT và kiểm tra mà nó đi qua.

1. packet-tracer input outside tcp 10.20.30.10 49152 10.0.5.20 443 detailed
2. Đọc dòng kết quả: nó nêu tên ACL đã cho phép hoặc loại bỏ gói tin.
3. Lặp lại với đích quản trị trên giao diện inside và xác nhận một lần từ chối.
4. Lặp lại một lần nữa sau mọi thay đổi, để cả trạng thái trước và sau đều được ghi lại.

Sau đó xác minh bằng lưu lượng thật: một yêu cầu ứng dụng thành công từ chi nhánh và một lần thử SSH thất bại tới ASA. Packet-tracer mô hình hóa đường đi; một luồng sống chứng minh mô hình đã khớp.

Hoàn nguyên thay đổi đã làm nó hoạt động

Nếu cách khắc phục là tắt việc bỏ qua ACL hoặc mở rộng bộ lọc, hãy giữ cấu hình trước đó. Ảnh chụp show run các đối tượng bị ảnh hưởng, được lưu trước khi thay đổi, đủ để khôi phục chúng; cấu hình ASA định hướng theo dòng, nên hoàn nguyên nghĩa là nhập lại các dòng cũ, không phải khôi phục tệp.

Ghi lại cặp giao diện, bộ lọc hiệu lực, tên ACL từ packet-tracer và các lệnh chính xác bạn đã thay đổi. Bản ghi đó biến lần rà soát tiếp theo thành một lần kiểm tra năm phút thay vì một cuộc tranh luận khác về mức tin cậy.