ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:37 GMT

Cristian Matei — Mon, 02 Mar 2026 12:41:37 GMT

Привет, @BigWANTheory
Только со стороны ASAv. Спасибо, Кристиан.

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:36 GMT

BigWANTheory — Mon, 02 Mar 2026 12:41:36 GMT

@Роб Ингрэм
написал:
@BigWANTheory
вы настраиваете обратную связь на ASAv ciscoasa# ping 192.168.5.100
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.5.100, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
ciscoasa# packet-tracer input insiDE tcp 192.168.5.100 12345 10.251.100.242 18$ Phase: 1
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 7843 ns
Config:
Implicit Rule
Additional Information: Forward Flow based lookup yields rule: in id=0x7febe1a7d8c0, priority=1, domain=permit, deny=false hits=7, user_data=0x0000000000000000, cs_id=0x0, l3_type=0x8 src mac=0000.0000.0000, mask=0000.0000.0000 dst mac=0000.0000.0000, mask=0100.0000.0000 input_ifc=INSIDE, output_ifc=any Phase: 2
Type: INPUT-ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Elapsed time: 13299 ns
Config:
Additional Information:
Found next-hop 169.254.250.2 using egress ifc VPN-SCDC Phase: 3
Type: ACCESS-LIST
Subtype:
Result: ALLOW
Elapsed time: 4887 ns
Config:
access-group INSIDE-IN in interface INSIDE
access-list INSIDE-IN extended permit ip any any
Additional Information: Forward Flow based lookup yields rule: in id=0x7febec028ad0, priority=13, domain=permit, deny=false hits=0, user_data=0x0000000000000000, cs_id=0x0, use_real_addr, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, input_ifc=INSIDE, output_ifc=any Phase: 4
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 4887 ns
Config:
Additional Information: Forward Flow based lookup yields rule: in id=0x7febe15df930, priority=0, domain=nat-per-session, deny=false hits=1291604, user_data=0x0000000000000000, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=6 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, input_ifc=any, output_ifc=any Phase: 5
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 4887 ns
Config:
Additional Information: Forward Flow based lookup yields rule: in id=0x7febe1a87970, priority=0, domain=inspect-ip-options, deny=true hits=0, user_data=0x0000000000000000, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dscp=0x0, input_ifc=INSIDE, output_ifc=any Phase: 6
Type: QOS
Subtype:
Result: ALLOW
Elapsed time: 26939 ns
Config:
Additional Information: Forward Flow based lookup yields rule: in id=0x7febe4017600, priority=70, domain=qos-per-class, deny=false hits=43849, user_data=0x00007febe4017290, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, input_ifc=any, output_ifc=any Phase: 7
Type: VPN
Subtype: encrypt
Result: ALLOW
Elapsed time: 3751 ns
Config:
Additional Information: Forward Flow based lookup yields rule: out id=0x7febe4124030, priority=70, domain=encrypt, deny=false hits=1, user_data=0x000000000000155c, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dscp=0x0, input_ifc=any, output_ifc=VPN-SCDC Phase: 8
Type: QOS
Subtype:
Result: ALLOW
Elapsed time: 19096 ns
Config:
Additional Information: Reverse Flow based lookup yields rule: in id=0x7febe4017600, priority=70, domain=qos-per-class, deny=false hits=43850, user_data=0x00007febe4017290, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, input_ifc=any, output_ifc=any Phase: 9
Type: VPN
Subtype: ipsec-tunnel-flow
Result: ALLOW
Elapsed time: 341 ns
Config:
Additional Information: Reverse Flow based lookup yields rule: in id=0x7febe428e710, priority=69, domain=ipsec-tunnel-flow, deny=false hits=1, user_data=0x000000000000275c, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dscp=0x0, input_ifc=VPN-SCDC, output_ifc=any Phase: 10
Type: NAT
Subtype: per-session
Result: ALLOW
Elapsed time: 1023 ns
Config:
Additional Information: Reverse Flow based lookup yields rule: in id=0x7febe15df930, priority=0, domain=nat-per-session, deny=false hits=1291606, user_data=0x0000000000000000, cs_id=0x0, reverse, use_real_addr, flags=0x0, protocol=6 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any, dscp=0x0, input_ifc=any, output_ifc=any Phase: 11
Type: IP-OPTIONS
Subtype:
Result: ALLOW
Elapsed time: 341 ns
Config:
Additional Information: Reverse Flow based lookup yields rule: in id=0x7febe1b4a6a0, priority=0, domain=inspect-ip-options, deny=true hits=1, user_data=0x0000000000000000, cs_id=0x0, reverse, flags=0x0, protocol=0 src ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dst ip/id=0.0.0.0, mask=0.0.0.0, port=0, tag=any dscp=0x0, input_ifc=VPN-SCDC, output_ifc=any Phase: 12
Type: FLOW-CREATION
Subtype:
Result: ALLOW
Elapsed time: 19096 ns
Config:
Additional Information:
New flow created with id 1273875, packet dispatched to next module
Module information for forward flow ...
snp_fp_inspect_ip_options
snp_fp_tcp_normalizer
snp_fp_tls_watcher
snp_fp_translate
snp_fp_adjacency
snp_fp_encrypt
snp_fp_fragment
snp_fp_tracer_drop
snp_ifc_stat Module information for reverse flow ...
snp_fp_inspect_ip_options
snp_fp_ipsec_tunnel_flow
snp_fp_translate
snp_fp_tcp_normalizer
snp_fp_tls_watcher
snp_fp_adjacency
snp_fp_fragment
snp_fp_tracer_drop
snp_ifc_stat Result:
input-interface: INSIDE
input-status: up
input-line-status: up
output-interface: VPN-SCDC
output-status: up
output-line-status: up
Action: allow
Time Taken: 106390 ns

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:35 GMT

Rob Ingram — Mon, 02 Mar 2026 12:41:35 GMT

@BigWANTheory
вы настраиваете обратную связь на ASAv

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:34 GMT

BigWANTheory — Mon, 02 Mar 2026 12:41:34 GMT

Спасибо, это значит
, что мне также нужно будет настроить интерфейс обратной связи на стороне AWS?

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:33 GMT

Rob Ingram — Mon, 02 Mar 2026 12:41:33 GMT

@BigWANTheory
используйте интерфейс обратной связи в качестве исходного интерфейса для AAA и убедитесь, что удаленная сторона имеет маршрут к этому интерфейсу обратной связи.

Reply to ASAv в облаке AWS, трафик vpnUser заблокирован от VPN к локальному сайту on Mon, 02 Mar 2026 12:41:32 GMT

Cristian Matei — Mon, 02 Mar 2026 12:41:32 GMT

Здравствуйте, В ASA существует архитектурное ограничение, означающее, что трафик, исходящий из устройства или направляющийся в устройство, не может проходить через него: например, если вы хотите выполнить ping хосту, доступному с точки зрения маршрутизации на внешнем интерфейсе ASA, вы не можете использовать никакой другой интерфейс источника, кроме внешнего интерфейса, поскольку использование внутреннего интерфейса означает, что трафик будет проходить через устройство, изнутри наружу, что не допускается. Это ограничение существовало с самого начала ASA/PIX, оно по-прежнему существует по соображениям безопасности и не может быть отключено. Судя по вашей конфигурации, вы подпадаете под это ограничение, поскольку ваш сервер RADIUS настроен с интерфейсом INSIDE (который будет работать только в том случае, если сервер RADIUS доступен с точки зрения маршрутизации через интерфейс INSIDE), однако вывод вашего пакетного трассировщика показывает, что сервер RADIUS доступен с точки зрения маршрутизации через интерфейс VPN-туннеля. Решение заключается в том, чтобы настроить интерфейс Loopback, назначить ему подсеть IPv4 /32, дать ему имя, например LOOPBACK, убедиться, что эта подсеть /32 маршрутизируется через VPN-туннель в обоих направлениях, и перенастроить ваш сервер RADIUS на использование Loopback nameif вместо INSIDE. Спасибо, Кристиан.