Inhoud

uitgeven

Bij het bekijken van de configuratie van Cisco Secure Access Traffic Steering worden in de VPN-profielinstellingen en XML-bestanden geen IP-adressen of domeinen voor bestemming weergegeven die zijn geconfigureerd voor verkeersbesturing. Hierdoor ontstaat verwarring over de manier waarop de Secure Access-client verkeersbestemmingen bepaalt voor het sturen van beslissingen en hoe configuratiewijzigingen die in het beheerportaal zijn aangebracht, worden gesynchroniseerd met de client.

In het bijzonder merken beheerders op dat terwijl de instellingen voor verkeerssturing worden geconfigureerd via de VPN-profielbeheerinterface, de bijbehorende VPN-profiel XML-bestanden geen zichtbare vermeldingen bevatten voor de bestemmingsadressen of domeinen die moeten worden onderworpen aan verkeerssturing.

milieu

- Cisco Secure Access-oplossing

- VPN-profielconfiguratie met Traffic Steering ingeschakeld

- Client-implementatie voor beveiligde toegang

resolutie

Traffic Steering in Cisco Secure Access werkt via een dynamisch regelleveringsmechanisme in plaats van statische vermeldingen in het XML-profiel van het VPN. Hieronder wordt uitgelegd hoe dit proces werkt en hoe u de configuratie kunt valideren:

proces voor de levering van verkeersgeleidingsregels

Traffic Steering-regels worden niet opgeslagen in het XML-bestand met het VPN-profiel dat beheerders kunnen bekijken. In plaats daarvan worden deze regels dynamisch van de kop-end van Secure Access naar de client geduwd tijdens het instellen van een VPN-verbinding. Het proces werkt als volgt:

1. Wanneer een VPN-verbinding tot stand is gebracht, duwt de kop-end van Secure Access de huidige regels voor verkeerssturing (Split Tunnel) naar de verbindende client

2. De client ontvangt deze regels en schrijft ze rechtstreeks in de routeringstabel van de lokale client

3. Beslissingen over het sturen van het verkeer worden genomen op basis van de vermeldingen in de routeringstabel van de client, niet op basis van informatie die zichtbaar is in het XML-profiel van het VPN-profiel

Synchronisatie van configuratiewijziging

Wijzigingen in de instellingen voor verkeerssturing in het beheerportaal volgen een specifiek synchronisatiepatroon:

- Configuratiewijzigingen die zijn aangebracht in het beheerportaal worden niet van kracht tijdens een actieve VPN-sessie

- Nieuwe Traffic Steering regels worden toegepast bij de volgende VPN verbinding vestiging

- Als u gedrag wilt valideren nadat de configuratie van de verkeersbesturing is gewijzigd, moet de VPN-verbinding worden verbroken en opnieuw worden verbonden

Validatiestappen

Om wijzigingen in de configuratie van de verkeersbesturing te valideren:

1. Breng de gewenste wijzigingen aan in de instellingen voor verkeerssturing in het beheerportaal voor beveiligde toegang

2. De bestaande VPN-verbinding op de client verbreken

3. Maak opnieuw verbinding met de VPN om de bijgewerkte verkeersstuurregels te ontvangen

4. Controleer de routeringstabel van de client om te controleren of de nieuwe regels zijn toegepast

Oorzaak

De schijnbare afwezigheid van Traffic Steering-bestemmingen in het VPN-profiel is XML. Cisco Secure Access maakt gebruik van een dynamisch regelleveringssysteem waarbij verkeersstuurregels op het moment van verbinding naar de client worden gepusht en worden geïmplementeerd via routeringstabel-items in plaats van te worden opgeslagen als zichtbare configuratie-elementen in het XML-profiel. Deze architectuur maakt real-time beleidsupdates en gecentraliseerde controle mogelijk met behoud van beveiliging en prestaties.

Verwante inhoud

- ASA configuratiehandleiding voor split-tunneling

- Cisco Technical Support en downloads