Surveiller les tunnels IPsec

Monitoring (Surveillance) > VPN > VPN Connection Graphs (Graphiques de connexion VPN) > IPSec Tunnels (Tunnels IPSec)

Pour spécifier les graphiques et les tableaux des types de tunnels IPsec que vous souhaitez afficher ou préparer à l’exportation ou à l’impression.

Surveiller les sessions

Monitoring (Surveillance) > VPN > VPN Connection Graphs (Graphiques de connexion VPN) > Sessions (Sessions)

Pour préciser les graphiques et le tableau des types de sessions VPN que vous souhaitez afficher ou préparer à l’exportation ou à l’impression.

Fenêtre de surveillance de session

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Sessions

Pour afficher les statistiques de session VPN pour l’ASA. Le contenu du deuxième tableau de ce volet dépend de la sélection dans la liste Filter By (Filtrer par).

Remarque

Un administrateur peut faire le suivi du nombre d’utilisateurs à l’état inactif et peut consulter les statistiques. Les sessions inactives depuis le plus longtemps sont marquées comme inactives (et automatiquement déconnectées) afin que la capacité de licence ne soit pas atteinte et que de nouveaux utilisateurs puissent se connecter. Vous pouvez également accéder à ces statistiques à l’aide de la commande CLI show vpn-sessiondb (consultez la version appropriée du Guide de référence des commandes Cisco ASA).

• Tout accès à distance

  Indique que les valeurs dans ce tableau sont liées au trafic d’accès à distance (clients de logiciel et de matériel IPsec).

• Username/Connection Profile (Nom d’utilisateur/profil de connexion) : affiche le nom d’utilisateur ou le nom de connexion et le profil de connexion (groupe de tunnels) pour la session. Si le client utilise un certificat numérique pour l’authentification, le champ affiche le CN du sujet ou l’OU du sujet à partir du certificat.

• Group Policy Connection Profile (Profil de connexion de stratégie de groupe) : affiche le profil de connexion de stratégie de groupe de tunnel pour la session.

• Assigned IP Address/Public IP Address (Adresse IP affectée/adresse IP publique) : affiche l’adresse IP privée (« affectée ») affectée au client distant pour cette session. C’est également ce qu’on appelle l’adresse IP « interne » ou « virtuelle », et elle permet au client de sembler être un hôte sur le réseau privé. Affiche également l’adresse IP publique du client pour cette session d’accès à distance. C’est ce qu’on appelle l’adresse IP « externe ». Il est généralement affecté au client par le fournisseur de services Internet, et il permet au client de fonctionner en tant qu’hôte sur le réseau public.

• Ping : envoie un paquet ping ICMP (Packet Internet Groper) afin de tester la connectivité réseau. Plus précisément, l’ASA envoie un message de demande d’écho ICMP à un hôte sélectionné. Si l’hôte est accessible, il renvoie un message Echo Reply et l’ASA affiche un message Success (Réussite) avec le nom de l’hôte testé, ainsi que le temps écoulé entre l’envoi de la demande et la réception de la réponse. Si le système est inaccessible pour une raison quelconque (par exemple : hôte en panne, ICMP ne s’exécute pas sur l’hôte, route non configurée, routeur intermédiaire en panne, réseau en panne ou congestionné), l’ASA affiche un écran d’erreur avec le nom de l’hôte testé.

• Logout By (Déconnecter par) : choisit un critère à utiliser pour filtrer les sessions à déconnecter. Si vous choisissez une valeur autre que --All Sessions-- (Toutes les sessions), la zone située à droite de la liste Logout By (Déconnecter par) devient active. Si vous choisissez la valeur Protocol (Protocole) pour Logout By (Déconnecter par), la zone devient une liste dans laquelle vous pouvez choisir un type de protocole à utiliser comme filtre de déconnexion. La valeur par défaut de cette liste est IPsec. Pour tous les choix autres que Protocol (Protocole), vous devez fournir une valeur appropriée dans cette colonne.

Surveiller les sessions actives VPN

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques de VPN) > Sessions

Pour l’affichage des sessions Secure Client triées par nom d’utilisateur, adresse IP, type d’adresse ou adresse publique.

Surveiller les détails des sessions VPN

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Sessions > Details (Détails)

Pour afficher les paramètres de configuration, les statistiques et les informations d’état de la session sélectionnée.

• Résultat NAC et jeton de posture

L’ASDM affiche les valeurs dans cette colonne uniquement si vous avez configuré le contrôle d’admission au réseau sur l’ASA.

• Accepted (Accepté) : l’ACS a validé avec succès la posture de l’hôte distant.

• Rejected (Rejeté) : l’ACS n’a pas pu valider avec succès la posture de l’hôte distant.

• Exempté : l’hôte distant est exempté de la validation de la posture selon la liste d’exceptions de validation de la posture configurée sur l’ASA.

• Non-Responsive (Sans réponse) : l’hôte distant n’a pas répondu au message EAPoUDP Hello.

• Hold-off (Attente) : l’ASA a perdu la communication EAPoUDP avec l’hôte distant après la validation réussie de la posture.

• N/A (S/O) : la NAC est désactivée pour l’hôte distant conformément à la stratégie de groupe VPN NAC.

• Unknown (Inconnu) : la validation de la posture est en cours.

Le jeton de posture est une chaîne de texte d’information qui peut être configurée sur le serveur de contrôle d’accès. L’ACS télécharge le jeton de posture sur l’ASA à titre informatif afin de faciliter la surveillance, la création de rapports, le débogage et la journalisation du système. Le jeton de posture typique qui suit le résultat NAC est le suivant : Healthy (En bonne santé), Checkup (Contrôle), Quarantine (Quarantaine), Infected (Infecté) ou Unknown (Inconnu).

L’onglet Details (Détails) du volet Session Details (Détails de la session) affiche les colonnes suivantes :

• ID : ID unique affecté dynamiquement à la session. L’ID sert d’index ASA pour la session. Il utilise cet index pour conserver et afficher les renseignements sur la session.

• Type : type de session : IKE, IPsec ou NAC.

• Local Addr., Subnet Mask, Protocol, Port, Remote Addr., Subnet Mask, Protocol et Port : adresses et ports affectés à l’homologue réel (local) ainsi qu’à ceux affectés à cet homologue aux fins du routage externe.

• Encryption (Chiffrement) : algorithme de chiffrement des données utilisé par cette session, le cas échéant.

• Assigned IP Address and Public IP Address (Adresse IP affectée et adresse IP publique) : affiche l’adresse IP privée affectée à l’homologue distant pour cette session. Également appelée adresse IP interne ou virtuelle, l’adresse IP affectée permet à l’homologue distant de sembler se trouver sur le réseau privé. Le deuxième champ affiche l’adresse IP publique de l’ordinateur distant pour cette session. Également appelée adresse IP externe, l’adresse IP publique est généralement affectée à l’ordinateur distant par le fournisseur de services Internet. Elle permet à l’ordinateur distant de fonctionner comme hôte sur le réseau public.

• Other (Autre) : attributs divers associés à la session.

Les attributs suivants s’appliquent aux sessions IKE, aux sessions IPsec et aux sessions NAC :

• Revalidation Time Interval (Intervalle de revalidation) : intervalle en secondes requis entre chaque validation de posture réussie.

• Time Until Next Revalidation (Temps jusqu’à la prochaine revalidation) : 0 si la dernière tentative de validation de posture a échoué. Sinon, la différence entre l’intervalle de revalidation et le nombre de secondes depuis la dernière validation réussie de la posture.

• Status Query Time Interval (Intervalle de requête d’état) : temps en secondes autorisé entre chaque validation de posture ou réponse de requête d’état réussie et la réponse de requête d’état suivante. Une requête d’état est une demande effectuée par l’ASA à l’hôte distant afin d’indiquer si l’hôte a connu des changements de posture depuis la dernière validation de posture.

• EAPoUDP Session Age (Âge de la session EAPoUDP) : nombre de secondes depuis la dernière validation de posture réussie.

• Hold-Off Time Remaining (Temps d’attente restant) : 0 seconde si la dernière validation de posture a réussi. Sinon, le nombre de secondes restantes avant la prochaine tentative de validation de la posture.

• Posture Token (Jeton de posture) : chaîne de texte informatif configurable sur le serveur de contrôle d’accès. L’ACS télécharge le jeton de posture sur l’ASA à des fins informatives afin de faciliter la surveillance, la création de rapports, le débogage et la journalisation du système. Un jeton de posture typique est Healthy (En bonne santé), Checkup (Contrôle), Quarantine (Quarantaine), Infected (Infecté) ou Unknown (Inconnu).

• Redirect URL (URL de redirection) : après la validation de posture ou l’authentification sans client, l’ACS télécharge la politique d’accès de la session vers l’ASA. L’URL de redirection constitue une partie facultative de la charge utile de la politique d’accès. L’ASA redirige toutes les demandes HTTP (port 80) et HTTPS (port 443) de l’hôte distant vers l’URL de redirection, le cas échéant. Si la politique d’accès ne contient pas d’URL de redirection, l’ASA ne redirige pas les requêtes HTTP et HTTPS de l’hôte distant.

  Les URL de redirection restent en vigueur jusqu’à la fin de la session IPsec ou jusqu’à la revalidation de la posture, pour laquelle l’ACS télécharge une nouvelle politique d’accès qui peut contenir une URL de redirection différente ou aucune URL de redirection.

  More (Plus) : appuyez sur ce bouton pour revalider ou initialiser la session ou le groupe de tunnels.

L’onglet ACL affiche l’ACL contenant les ACE correspondant à la session.

Surveiller les charges de grappe

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Cluster Loads (Charges de grappe)

Pour afficher la répartition actuelle de la charge du trafic entre les serveurs d’une grappe d’équilibrage de charge VPN. Si le serveur ne fait pas partie d’une grappe, vous recevez un message d’information indiquant que ce serveur ne participe pas à une grappe d’équilibrage de charge VPN.

Surveiller les statistiques cryptographiques

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Crypto Statistics (Statistiques cryptographiques)

Pour afficher les statistiques cryptographiques des sessions utilisateur et administrateur actuellement actives sur l’ASA. Chaque ligne dans le tableau représente une statistique cryptographique.

Surveiller les statistiques de compression

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Compression Statistics (Statistiques de compression)

Pour afficher les statistiques de compression pour les sessions utilisateur et administrateur actuellement actives sur l’ASA. Chaque ligne dans le tableau représente une statistique de compression.

Surveiller les statistiques de chiffrement

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Encryption Statistics (Statistiques de chiffrement)

Pour afficher les algorithmes de chiffrement des données utilisés par les sessions utilisateur et administrateur actuellement actives sur l’ASA. Chaque ligne dans le tableau représente un type d’algorithme de chiffrement.

Surveiller les statistiques globales IKE/IPsec

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Global IKE/IPsec Statistics (Statistiques globales IKE/IPsec)

Pour afficher les statistiques globales IKE/IPsec pour les sessions utilisateur et administrateur actuellement actives sur l’ASA. Chaque ligne dans le tableau représente une statistique globale.

Surveiller le résumé des sessions NAC

Pour afficher les sessions de contrôle d’admission au réseau actives et cumulatives.

• Active NAC Sessions (Sessions NAC actives) : statistiques générales sur les homologues distants soumis à la validation de posture.

• Cumulative NAC Sessions (Sessions NAC cumulatives) : statistiques générales sur les homologues distants qui sont ou ont été soumis à une validation de posture.

• Accepted (Accepté) : nombre d’homologues ayant réussi la validation de posture et s’étant vu affecter une politique d’accès par un serveur de contrôle d’accès.

• Rejected (Rejeté) : nombre d’homologues ayant échoué à la validation de posture ou ne s’étant pas vu affecter de politique d’accès par un serveur de contrôle d’accès.

• Exempté : nombre d’homologues qui ne sont pas soumis à la validation de la posture, car ils correspondent à une entrée dans la liste d’exceptions de validation de posture configurée sur l’ASA.

• Non-responsive (Sans réponse) : nombre d’homologues ne répondant pas aux demandes UDP du protocole EAP (Extensible Authentication Protocol) pour la validation de posture. Les homologues sur lesquels aucun CTA n’est en cours d’exécution ne répondent pas à ces demandes. Si la configuration ASA prend en charge les hôtes sans client, le serveur de contrôle d’accès télécharge vers l’ASA la politique d’accès associée aux hôtes sans client pour ces homologues. Sinon, l’ASA attribue la politique par défaut du NAC.

• Hold-off (En attente) : nombre d’homologues pour lesquels l’ASA a perdu les communications EAPoUDP après une validation de posture réussie. L’attribut NAC Hold Timer (Minuterie d’attente NAC) (Configuration > VPN > NAC) détermine le délai entre ce type d’événement et la prochaine tentative de validation de posture.

• N/A (S/O) : nombre d’homologues pour lesquels la NAC est désactivée conformément à la stratégie de groupe VPN NAC.

• Revalidate All (Revalider tout) : cliquez si la posture des homologues ou les politiques d’accès affectées (c’est-à-dire les ACL téléchargées) ont changé. Le fait de cliquer sur ce bouton lance de nouvelles validations de posture inconditionnelles pour toutes les sessions NAC gérées par l’ASA. La validation de posture et la politique d’accès affectée qui étaient en vigueur pour chaque session avant que vous ne cliquiez sur ce bouton demeurent en vigueur jusqu’à ce que la nouvelle validation de posture réussisse ou échoue. Le fait de cliquer sur ce bouton n’affecte pas les sessions exemptées de validation de posture.

• Initialize All (Initialiser tout) : cliquez si la posture des homologues ou les politiques d’accès affectées (c’est-à-dire les ACL téléchargées) ont changé et que vous souhaitez effacer les ressources affectées aux sessions. Le fait de cliquer sur ce bouton purge les associations EAPoUDP et les politiques d’accès affectées utilisées pour les validations de posture de toutes les sessions NAC gérées par l’ASA et lance de nouvelles validations de posture inconditionnelles. L’ACL NAC par défaut est active pendant les revalidations, de sorte que les initialisations de session peuvent perturber le trafic utilisateur. Le fait de cliquer sur ce bouton n’affecte pas les sessions exemptées de validation de posture.

Surveiller les statistiques de protocole

Monitoring (Supervision) > VPN > VPN Statistics (Statistiques VPN) > Protocol Statistics (Statistiques de protocole)

Pour afficher les protocoles utilisés par les sessions utilisateur et administrateur actuellement actives sur l’ASA. Chaque ligne dans le tableau représente un type de protocole.

Surveiller les sessions de mappage VLAN

Pour afficher le nombre de sessions affectées à un VLAN de sortie, tel que déterminé par la valeur du paramètre Restrict Access to VLAN (Restreindre l’accès au VLAN) de chaque stratégie de groupe utilisée. L’ASA transfère tout le trafic vers le VLAN sélectionné.