Kan een enkele WAN-koppelvlak tak-tot-tak- en afstand-VPN bedien?

Een openbare adres kan gelyktydig 'n taktonnel en 'n poel swerwende gebruikers bedien. Dit kan nie een gedeelde toelatingsreël bedien nie. Die takportuur en die swerwende gebruiker verskil in wie hulle sê dat hulle is, hoe daardie bewys nagegaan word, watter adresse hulle ontvang, en watter prefixe hulle mag antwoord. Sodra jy die buiteadres as 'n vervoerdetail eerder as 'n identiteit behandel, word die ontwerp baie eenvoudiger.

Vinnige toets: probeer albei toelatingsrekords skryf voor jy aan die router raak. As één passingvoorwaarde albei moet dek, is die beleid reeds dubbelsinnig, en die eerste simptoom sal soos 'n roete- of brandmuurfout lyk terwyl dit eintlik 'n identiteitsfout is.

Twee rekords voor enige konfigurasie

Die takrekord is kort en stabiel. Dit lys die portuuradres of sertifikaatnaam, die voorafgedeelde sleutel of sertifikaatvertrouepunt, die beskermde subnetwerke aan albei kante, die tonnelkoppelvlak, en die statiese roete wat takgerigte verkeer in daardie tonnel stuur. Elke veld gaan oor een bekende portuur en 'n vaste stel prefixe.

Die swerwende rekord is breër en persoonliker. Dit lys die kliëntprotokol en -poort, hoe 'n gebruiker of toestel verifieer, die adrespoel wat by verbinding uitgedeel word, die hulpbronne wat daardie poel mag bereik, split-tonnel-prefixe, DNS-bedienerers wat na die kliënt gestuur word, en enige tweede faktor. Elke veld beantwoord 'n vraag oor 'n onbekende aantal gebruikers eerder as oor een poort.

Daardie verskil in korreligheid is die hele rede waarom die twee rolle uiteengaan. 'n Takprofiel kan veilig een sleutel vertrou omdat die sleutel aan een toestel by een terrein behoort. 'n Swerwende profiel wat een groepsleutel vir almal vertrou, laat verantwoordbaarheid per gebruiker in duie stort, wat gewoonlik later ontdek word, tydens 'n voorvalondersoek eerder as tydens die uitrol.

Waar portuurpassing en verifiëring uiteengaan

Op IOS XE dra die IKEv2-profiel die parameters wat nie onderhandel kan word nie en die voorwaardes wat gebruik word om die portuur te kies. Dit beteken die takkant en die swerwende kant het elk hul eie profiel nodig, selfs wanneer hulle op dieselfde koppelvlak eindig en selfs wanneer hulle 'n kripto-PKI deel. Cisco dokumenteer die profiel-, verifiërings- en passingrolle in sy IKEv2-konfigurasiegids vir IOS XE 17.

Die takprofiel pas gewoonlik by 'n nou identiteit: 'n afgeleë adres, 'n FQDN, of 'n sertifikaatonderwerp. Iets soos match identity remote address 198.51.100.10 255.255.255.255 pen een portuur vas, en authentication remote pre-share met 'n sleutel wat per terrein gestoor word, is genoeg. Hou die passing so spesifiek as wat die portuurinventaris toelaat, want 'n oorvleuelende wildcard hoër in die keuseorde kan takverkeer in die verkeerde profiel intrek.

Die swerwende profiel kan nie 'n adres vaspen nie, so dit pas by 'n groep, 'n sleutel-ID, of 'n sertifikaatveld, en gee dan die werklike gebruikerstoets aan AAA of aan die magtigingsbeleid wat aan die profiel geheg is. Daardie skeiding maak saak: portuurverifiëring antwoord of die kliënt 'n tonnel mag bou, en magtiging per gebruiker antwoord watter poel en watter hulpbronne dit kry. Om die taksleutel as 'n universele aanmelding te gebruik, gooi die tweede antwoord weg.

Aanstuur en vertaling het dieselfde skeiding nodig

Toelating en bereikbaarheid is aparte probleme. 'n Suksesvolle IKE- en IPsec-uitruiling bewys die partye stem oor sleutels saam; dit skep nie 'n roete na die poel wat die kliënt ontvang het nie. Afstandtoegangspoelle het dus 'n terugpad nodig, hetsy 'n statiese roete na die tonnelkoppelvlak of 'n roeteringsprotokol wat die poelopsomming inspuit. Takprefixe kom gewoonlik deur dieselfde roeteringsproses wat die res van die terrein bedien.

Vertaling is waar die twee rolle die meeste bots. Tak-tot-tak-verkeer wat sy private adresse moet hou, het 'n NAT-vrystelling nodig wat op daardie twee prefixe toegespits is, in albei rigtings. Swerwende kliënte het gewoonlik ook hul tonnelverkeer vrygestel nodig, maar hul internetgerigte verkeer omseil óf die tonnel deur split-tonneling óf verlaat by die hub na NAT. Om alles vry te stel wat uit 'n tonnel kom, is die klassieke fout, want dit verwyder ook vertaling van verkeer wat dit werklik nodig het.

Hou die vrystellingsreëls so nou soos die toelatingsreëls. As 'n poelopsomming en 'n takprefix oorvleuel, word die terugpad dubbelsinnig lank voordat enige pakkie laat val word, en die simptoom wys as een terrein wat af en toe 'n subnet verloor eerder as 'n skoon tonnelfout.

Aanvaardingsgevalle wat 'n gekruiste beleid blootlê

Bou vier gevalle en voer hulle in volgorde uit. 'n Takgasheer bereik 'n hulpbron wat net op die tak beskikbaar is. 'n Swerwende kliënt bereik dieselfde hulpbron deur sy poeladres. 'n Swerwende kliënt probeer 'n takprefix wat hy nie mag aanraak nie. 'n Takportuur probeer 'n adres uit die afstandtoegangspoel kry. Die laaste twee is diegene wat 'n gedeelde profiel vang, want hulle misluk stil in normale monitering.

Bevestig dan die datavlak eerder as die konfigurasie. show crypto ikev2 sa en show crypto ipsec sa vertel jou watter profiel en selektore elke vloei gedra het, terwyl show ip nat translations en die tonneltellers wys of die terugpad en vrystelling werklik gepas het. 'n Tracer of pakkie-opname op die tonnelkoppelvlak sluit die lus.

Skryf die waargenome identiteit, poeladres en gekose beleid langs elke resultaat. Die lopie is klaar wanneer elke geval op presies een rekord afbeeld, en geen geval 'n tydelike uitsondering nodig het om te slaag nie.