Configuración de Cisco Secure Access Traffic Steering y sincronización del cliente

Problema

Al revisar la configuración de Cisco Secure Access Traffic Steering, la configuración del perfil de VPN y los archivos XML no muestran las direcciones IP de destino ni los dominios que se configuran para el control del direccionamiento del tráfico. Esto crea confusión sobre cómo el cliente Secure Access determina los destinos del tráfico para dirigir las decisiones y cómo los cambios de configuración realizados en el portal de administración se sincronizan con el cliente.

Específicamente, los administradores observan que mientras que la configuración de Traffic Steering se configura a través de la interfaz de administración del perfil VPN, los archivos XML del perfil VPN correspondientes no contienen entradas visibles para las direcciones o dominios de destino que deberían estar sujetos al control de dirección del tráfico.

Entorno

• Solución Cisco Secure Access
• Configuración del perfil de VPN con Traffic Steering habilitado
• Implementación del cliente Secure Access

Resolución

La dirección del tráfico en Cisco Secure Access funciona a través de un mecanismo de entrega de reglas dinámicas en lugar de entradas estáticas en el XML del perfil de VPN. A continuación se explica cómo funciona este proceso y cómo validar la configuración:

Proceso de entrega de reglas de dirección de tráfico

Las reglas de dirección de tráfico no se almacenan en el archivo XML del perfil VPN que los administradores pueden ver. En su lugar, estas reglas se transmiten dinámicamente desde el centro distribuidor de Secure Access al cliente durante el establecimiento de la conexión VPN. El proceso funciona de la siguiente manera:

1. Cuando se establece una conexión VPN, el centro distribuidor de Secure Access envía las reglas actuales de dirección de tráfico (túnel dividido) al cliente que se conecta
2. El cliente recibe estas reglas y las escribe directamente en la tabla de ruteo del cliente local
3. Las decisiones de direccionamiento del tráfico se toman en función de las entradas de la tabla de ruteo de clientes, no de la información visible en el XML del perfil de VPN

Sincronización de cambio de configuración

Los cambios realizados en la configuración de Traffic Steering en el portal de administración siguen un patrón de sincronización específico:

• Los cambios de configuración realizados en el portal de administración no surten efecto durante una sesión VPN activa
• Las nuevas reglas de dirección de tráfico se aplican en el siguiente establecimiento de conexión VPN
• Para validar el comportamiento después de realizar cambios en la configuración de Traffic Steering, la conexión VPN se debe desconectar y volver a conectar

Pasos de validación

Para validar los cambios de configuración de Traffic Steering:

1. Realice los cambios que desee en la configuración de Traffic Steering en el portal de administración de acceso seguro
2. Desconecte la conexión VPN existente en el cliente
3. Vuelva a conectar la VPN para recibir las reglas de dirección de tráfico actualizadas
4. Examine la tabla de enrutamiento de clientes para comprobar que se han aplicado las nuevas reglas

Causa

La aparente ausencia de destinos de dirección de tráfico en el XML del perfil de VPN es por diseño. Cisco Secure Access utiliza un sistema de entrega de reglas dinámicas en el que las reglas de dirección de tráfico se envían al cliente en el momento de la conexión y se implementan mediante entradas de la tabla de routing en lugar de almacenarse como elementos de configuración visibles en el XML del perfil. Esta arquitectura permite actualizaciones de políticas en tiempo real y control centralizado, a la vez que mantiene la seguridad y el rendimiento.

Contenido relacionado

• Guía de configuración de túnel dividido ASA
• Soporte técnico y descargas de Cisco