Vì sao người dùng từ xa của ASA đến được subnet nhưng không đến được ứng dụng

Người dùng của bạn kết nối, nhận địa chỉ, ping được một máy chủ trong subnet của ứng dụng mà vẫn không mở được dịch vụ trên đó. Sự kết hợp đó là bình thường trên ASA, bởi vì một tunnel thành công và một quyền sử dụng được do các thiết lập khác nhau quyết định. Danh sách tunnel chia tách chọn đích nào vào tunnel; một bộ lọc VPN và các quy tắc truy cập riêng của đích quyết định yêu cầu đã giải mã được phép chạm tới đâu. Hãy đi qua ba quyết định theo thứ tự thay vì mở rộng danh sách tuyến cho đến khi có gì thay đổi.

Ba quyết định dễ nhầm lẫn

Sự chấp nhận trả lời người dùng có được dựng tunnel hay không: thông tin đăng nhập, chứng chỉ và bất kỳ yếu tố thứ hai nào. Việc chọn tuyến trả lời đích nào máy khách gửi vào tunnel đó. Việc cấp quyền trả lời yêu cầu đã giải mã có được tới dịch vụ hay không. Chỉ điều thứ ba tạo ra lỗi mà người dùng báo cáo.

Một cách nhanh để phân biệt là hỏi một thay đổi sẽ làm hỏng điều gì. Gỡ một tuyến khỏi danh sách chia tách sẽ dừng lưu lượng tới subnet đó mà không cấp gì; thêm một ACE vào bộ lọc VPN sẽ cấp một đích mà không đổi điều máy khách đưa vào tunnel.

Đọc bộ lọc mà phiên thực sự nhận được

Bắt đầu từ phiên đang sống chứ không phải từ cấu hình bạn cho là đang áp dụng. show vpn-sessiondb detail anyconnect in ra chính sách nhóm được gán và tên bộ lọc gắn với phiên đó. Nếu trường này trống thì không bộ lọc nào đang áp đặt gì và việc chặn đến từ nơi khác.

Sau đó đọc chính sách sở hữu giá trị, kể cả các giá trị mặc định, vì bộ lọc có thể được kế thừa chứ không phải được viết ở nơi bạn đang xem:

show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn

So sánh tên bộ lọc trên phiên với ACL bạn vừa sửa. Một ACL có tên tương tự mà người dùng chưa bao giờ nhận được thì không thể đổi chính sách tài nguyên của phiên đó, và đây là lý do phổ biến nhất khiến một thay đổi trông đúng lại không có tác dụng.

Thứ tự ưu tiên giải thích phần còn lại. Với thiết lập bộ lọc, một bản ghi DAP cao hơn thuộc tính tên người dùng, và thuộc tính tên người dùng cao hơn chính sách nhóm. Khi một phiên hiển thị bộ lọc bạn không ngờ, hãy tìm chính sách DAP khớp với người dùng đó trước khi động vào nhóm.

Danh sách chia tách và bộ lọc là hai trường riêng

Trên ASA 9.x, chính sách nhóm giữ split-tunnel-network-list và vpn-filter như hai thiết lập khác nhau, và hướng dẫn chính sách nhóm 9.22 ghi chúng riêng chính vì lý do đó. Danh sách mạng là một gợi ý định tuyến cho máy khách; bộ lọc là danh sách kiểm soát truy cập áp lên lưu lượng đã giải mã.

Sự khác biệt đó quan trọng khi người dùng cần đúng một dịch vụ HTTPS trong một subnet. Đặt subnet vào danh sách chia tách để các gói vào tunnel, rồi chỉ cho phép dịch vụ đó trong bộ lọc. Mở rộng danh sách tuyến không cấp quyền gì, và thu hẹp nó không phải là cơ chế thực thi.

Kiểm tra xem một ACL giao diện có nằm trên đường đi hay không

Lưu lượng truy cập từ xa đã giải mã không phải lúc nào cũng đi qua ACL của giao diện ngoài như người ta giả định. Ở nơi sysopt connection permit-vpn được bật, ASA áp dụng cơ chế bỏ qua VPN đã ghi tài liệu cho lưu lượng đó, trong khi các bộ lọc VPN áp dụng vẫn có hiệu lực sau đó. Kiểm tra thiết lập bằng show run all sysopt thay vì suy luận từ sơ đồ topo.

Dù thế nào, tường lửa riêng của máy đích và việc cấp quyền của ứng dụng vẫn nằm trên đường đi. Một quy tắc ASA cho phép TCP 443 không làm ứng dụng chấp nhận người dùng.

Chấp nhận thay đổi cả bằng một kết nối bị từ chối

Chỉ một thử nghiệm được phép thì chứng minh rất ít, vì một tunnel hoạt động tạo ra cùng gói đầu tiên dù có bộ lọc hay không. Mở dịch vụ dự định từ máy khách, rồi thử một đích phải giữ đóng và xác nhận nó thất bại vì lý do đúng.

Ghi lại bốn sự thật khi đóng phiếu: danh tính được chấp nhận, chính sách và bộ lọc mà phiên thực sự nhận, các đích trong danh sách chia tách và tài nguyên mà người dùng được phép chạm tới. Bốn điều đó giải thích lưu lượng được kiểm soát ở đâu mà không biến danh sách tuyến thành tường lửa.

Nếu dịch vụ vẫn từ chối sau khi bộ lọc cho phép, hãy chuyển sang máy đích: địa chỉ lắng nghe, tường lửa của máy và ánh xạ người dùng riêng của ứng dụng. Lúc đó tunnel đã làm xong việc của nó, và các thay đổi ASA thêm nữa chỉ tăng rủi ro.