Configuração de direção de tráfego de acesso seguro da Cisco e sincronização de cliente

Problema

Ao revisar a configuração do Cisco Secure Access Traffic Steering, as configurações do perfil VPN e os arquivos XML não exibem endereços IP de destino ou domínios configurados para controle de direção de tráfego. Isso gera confusão sobre como o cliente Secure Access determina os destinos do tráfego para tomar decisões e como as alterações de configuração feitas no portal de gerenciamento são sincronizadas com o cliente.

Especificamente, os administradores observam que, enquanto as configurações de Traffic Steering são configuradas através da interface de gerenciamento de perfil VPN, os arquivos XML de perfil VPN correspondentes não contêm entradas visíveis para os endereços ou domínios de destino que devem estar sujeitos ao controle de direcionamento de tráfego.

Ambiente

• Solução Cisco Secure Access
• Configuração de perfil de VPN com Traffic Steering habilitado
• Implantação do cliente Secure Access

Resolução

O Traffic Steering no Cisco Secure Access opera através de um mecanismo de entrega de regra dinâmica em vez de entradas estáticas no XML do perfil VPN. Veja a seguir como esse processo funciona e como validar a configuração:

Processo de entrega da regra de direção de tráfego

As regras de orientação de tráfego não são armazenadas no arquivo XML do perfil VPN que os administradores podem visualizar. Em vez disso, essas regras são dinamicamente enviadas do headend do Secure Access para o cliente durante o estabelecimento da conexão VPN. O processo funciona da seguinte maneira:

1. Quando uma conexão VPN é estabelecida, o headend do Secure Access envia as regras atuais de Traffic Steering (Túnel Dividido) para o cliente de conexão
2. O cliente recebe essas regras e as grava diretamente na tabela de roteamento do cliente local
3. As decisões de direcionamento de tráfego são tomadas com base nas entradas na tabela de roteamento do cliente, não nas informações visíveis no perfil de VPN XML

Sincronização de Alteração de Configuração

As alterações feitas nas configurações de Direção de Tráfego no portal de gerenciamento seguem um padrão de sincronização específico:

• As alterações de configuração feitas no portal de gerenciamento não têm efeito durante uma sessão VPN ativa
• As novas regras de direção de tráfego são aplicadas no próximo estabelecimento de conexão VPN
• Para validar o comportamento depois de fazer alterações na configuração de Traffic Steering, a conexão VPN deve ser desconectada e reconectada

Etapas de validação

Para validar as alterações de configuração da Direção de tráfego:

1. Faça as alterações desejadas nas configurações do Traffic Steering no portal de gerenciamento do Secure Access
2. Desconectar a conexão VPN existente no cliente
3. Reconecte a VPN para receber as regras de direção de tráfego atualizadas
4. Examine a tabela de roteamento do cliente para verificar se as novas regras foram aplicadas

Causa

A aparente ausência de destinos do Traffic Steering no perfil XML da VPN é por design. O Cisco Secure Access usa um sistema dinâmico de distribuição de regras, no qual as regras de Traffic Steering são enviadas ao cliente no momento da conexão e implementadas através de entradas da tabela de roteamento, em vez de serem armazenadas como elementos de configuração visíveis no perfil XML. Essa arquitetura permite atualizações de políticas em tempo real e controle centralizado, mantendo a segurança e o desempenho.

Conteúdo relacionado

• Guia de configuração de separação de túneis ASA
• Suporte técnico e downloads da Cisco