’n Breë IPsec-kieser is nie toegang tot elke diens nie

Twee eweknieë kom ooreen om ’n hele subnet te beskerm, en iemand lees daardie ooreenkoms as toestemming om elke diens daarbinne te bereik. Dit is die mite: die kieser sê watter verkeer die tonnel bereid is om te dra, en dit sê niks oor watter dienste die organisasie toelaat nie. ’n Paar toestelle kan wettiglik oor ’n breë adresreeks onderhandel terwyl die toegangsbeleid daarbinne twee poorte toelaat, en albei stellings bly terselfdertyd waar.

Beskermde dekking is nie magtiging nie

’n Verkeerskieser is deel van die tonnelooreenkoms. Dit vernou of bevestig wat die eweknieë tussen hulle sal versleutel, en ’n breë kieser is dikwels die eenvoudigste ding om te bedryf wanneer die twee kante baie vloei moet dra. Die diensfilter is ’n ander beheer op ’n ander punt in die pad, en dit besluit wat werklik gebruik mag word nadat die pakkie ontsleutel is. Om die filter te verwyder sodat een toets slaag, verander ’n beleidsbesluit in ’n ongeluk.

Hou die twee rekords apart in die ontwerpdokument, want ’n leser wat net die kieser sien, sal magtiging aflei wat nooit toegestaan is nie. Twee reëls in ’n veranderingsrekord verhoed dit, en hulle neem minder tyd as die argument wat volg.

Beskryf een vloei van albei kante

Skryf die inisieerder, die responder, die bron en bestemming soos aangebied, die protokol en albei poorte neer. Keer dan elkeen van daardie etikette om vir die ander eindpunt, want ’n kliënt se kortstondige bronpoort word die bestemmingspoort van ’n antwoord en die afgeleë netwerk word die plaaslike een. ’n Konfigurasie wat van een kant na die ander gekopieer word sonder daardie omkering, is hoe filters uiteindelik presies die verkeerde rigting toelaat. Skryf die tabel een keer en bou albei filters daaruit.

Kom ooreen oor die seleksiemodel voordat enigiets gekopieer word, want ’n beleidsgebaseerde ontwerp en ’n roetegebaseerde ontwerp druk dieselfde bedoeling deur verskillende objekte uit. Skryf die modelnaam langs die vloei, anders sal die volgende ingenieur ’n middag spandeer om objekte te pas wat nooit vergelykbaar was nie.

Vind die filter wat werklik van toepassing is

Op ’n ASA is die VPN-filter ’n ACL wat aan ’n groepbeleid geheg is en op na-ontsleutelde en voor-versleutelde verkeer toegepas word. Cisco se groepbeleiddokumentasie beskryf ook oorerwing, insluitend ’n gebruikersvlakwaarde wat die groepbeleidwaarde vervang. Die ACL wat jy geredigeer het, is dus dalk nie die ACL wat die sessie voor jou beheer nie. Dieselfde geld vir die gebruikersobjek, wat die groep kan oorheers sonder om veel sigbare bewyse te laat.

Ondersoek die effektiewe sessie eerder as die objek wat jy onthou jy verander het, en let op watter beleidsobjek dit verskaf. Daardie enkele stap los ’n verrassende aantal verslae van die tipe die filter is reg maar dit werk nie op.

Rigting, poorte en die omgekeerde geval

Die gedokumenteerde konvensie plaas die afgeleë netwerk, of die toegewysde afgeleë kliëntadresse, in die bronposisie en die plaaslike netwerk in die bestemmingsposisie, met antwoorde uitgedruk deur die adresposisies te ruil. Poortreëls sit bo-op daardie konvensie en verdien meer sorg as die adresse.

Die gedokumenteerde model kan ’n bestemmingspoortreël laat geld op omgekeerde inisiasie wat daardie selfde bronpoort gebruik, wat beteken die filter is nie bloot ’n eenrigtingversoekreël met onskadelike antwoorde daaraan nie. Redeneer eksplisiet deur albei inisiasierigtings, en sluit die geval in wat jy van plan is om te weier.

Dieselfde dokumentasie beperk die filter tot aanvanklike verbindings, so dit is nie universele handhawing van elke sekondêre kanaal wat ’n geïnspekteerde toepassing oopmaak nie. Waar die volledige beleid daardie dekking nodig het, hoort dit by ’n aparte grens eerder as in ’n ACL wat verby sy doel gestrek word.

Toets drie gevalle voordat jy dit klaar noem

Aanvaar die beoogde vloei, weier ’n diens wat die beleid verbied, en oefen die omgekeerderigtinggeval waaroor jy geredeneer het. Hardloop hulle onder ’n goedgekeurde plan met dieselfde identiteite en kiesers wat jy sal ontplooi. ’n Toets wat net wys die toegelate diens werk, demonstreer die tonnel, nie die beleid nie.

Hou die onderhandelde dekking en die toegangsbesluit as twee rekords, want om te verduidelik wat ’n VPN toelaat, vereis albei.