Sommario

Problema

Quando si rivede la configurazione di Cisco Secure Access Traffic Steering, le impostazioni del profilo VPN e i file XML non visualizzano gli indirizzi IP di destinazione o i domini configurati per il controllo della direzione del traffico. Questo crea confusione sul modo in cui il client Secure Access determina le destinazioni del traffico per le decisioni di controllo e sul modo in cui le modifiche alla configurazione apportate nel portale di gestione vengono sincronizzate con il client. In particolare, gli amministratori osservano che mentre le impostazioni di controllo del traffico sono configurate tramite l'interfaccia di gestione dei profili VPN, i file XML dei profili VPN corrispondenti non contengono voci visibili per gli indirizzi o i domini di destinazione che possono essere soggetti al controllo del controllo del controllo del traffico.

Ambiente

- Soluzione Cisco Secure Access

- Configurazione del profilo VPN con Traffic Steering abilitato

- Distribuzione client Secure Access

Risoluzione

Il Traffic Steering in Cisco Secure Access funziona tramite un meccanismo di consegna delle regole dinamico anziché tramite voci statiche nel codice XML del profilo VPN. Nelle sezioni seguenti vengono illustrate le modalità di funzionamento di questo processo e la procedura per convalidare la configurazione.

Recapito regola controllo traffico

Le regole di controllo del traffico non sono archiviate nel file XML del profilo VPN che gli amministratori possono visualizzare. Al contrario, queste regole vengono inviate dinamicamente dall'headend di Secure Access al client durante la connessione VPN.

Il processo funziona di conseguenza:

1.- Quando viene stabilita una connessione VPN, l'headend di accesso sicuro invia le regole correnti di Traffic Steering (Split Tunnel) al client che esegue la connessione.

2.- Il client riceve queste regole e le scrive direttamente nella tabella di routing del client locale.

3.- Le decisioni relative alla direzione del traffico vengono prese in base alle voci della tabella di routing del client e non alle informazioni visibili nel file XML del profilo VPN.

Sincronizzazione modifiche configurazione

Le modifiche apportate alle impostazioni di Gestione traffico nel portale di gestione sono conformi a un modello di sincronizzazione specifico:

- Le modifiche alla configurazione apportate nel portale di gestione non hanno effetto durante una sessione VPN attiva.

- Le nuove regole per la direzione del traffico vengono applicate al successivo tentativo di connessione VPN.

- Per convalidare il comportamento dopo aver apportato modifiche alla configurazione del controllo del traffico, è necessario disconnettere e riconnettere la connessione VPN.

Passaggi di convalida

Per convalidare le modifiche alla configurazione di Gestione traffico:

1.- Apportare le modifiche desiderate alle impostazioni di Traffic Steering nel portale di gestione Secure Access.

2.- Disconnettere la connessione VPN esistente sul client.

3.- Riconnettere la VPN per ricevere le regole aggiornate di controllo del traffico.

4.- Esaminare la tabella di routing del client per verificare che le nuove regole siano state applicate.

Causa

L'apparente assenza di destinazioni Traffic Steering nel codice XML del profilo VPN è di progettazione. Cisco Secure Access utilizza un sistema di recapito delle regole dinamico in cui le regole di controllo del traffico vengono inviate al client al momento della connessione e implementate tramite voci della tabella di routing anziché essere archiviate come elementi di configurazione visibili nel codice XML del profilo. Questa architettura consente aggiornamenti delle policy in tempo reale e il controllo centralizzato, mantenendo al contempo la sicurezza e le prestazioni.

Contenuto correlato

- Guida alla configurazione di ASA split-tunneling

- Supporto tecnico Cisco e download