محدِّد IPsec الواسع ليس إذنًا لكل خدمة

يتفق طرفان على حماية شبكة فرعية كاملة، ثم يقرأ أحدهم هذا الاتفاق كإذن بالوصول إلى كل خدمة داخلها. تلك هي الأسطورة: المحدِّد يبيّن أي حركة يقبل النفق حملها، ولا يقول شيئًا عن الخدمات التي تسمح بها المؤسسة. يمكن لجهازين أن يتفاوضا بشكل مشروع على نطاق عناوين واسع بينما تسمح سياسة الوصول داخله بمنفذين، ويظل القولان صحيحين في الوقت نفسه.

التغطية المحمية ليست تخويلًا

محدِّد الحركة جزء من اتفاق النفق. فهو يضيّق أو يؤكد ما سيقوم الطرفان بتشفيره بينهما، وغالبًا ما يكون المحدِّد الواسع أبسط ما يمكن تشغيله عندما يكون على الجانبين تدفقات كثيرة. أما مرشّح الخدمة فهو ضابط آخر في موضع آخر من المسار، وهو يقرر ما يجوز استخدامه فعليًا بعد فك تشفير الحزمة. إن إزالة المرشّح لنجاح اختبار واحد تحوّل قرارًا سياسيًا إلى حادث.

أبقِ السجلين منفصلين في وثيقة التصميم، لأن القارئ الذي يرى المحدِّد وحده سيستنتج تخويلًا لم يُمنح قط. سطران في سجل التغيير يمنعان ذلك، ويستغرقان وقتًا أقل من الجدل الذي يليه.

صِف تدفقًا واحدًا من الطرفين

اكتب المُبادر والمستجيب والمصدر والوجهة كما هي معروضة، والبروتوكول والمنفذين. ثم اعكس كل تسمية من هذه التسميات للطرف الآخر، لأن المنفذ المصدر العابر للعميل يصبح منفذ الوجهة في الرد، والشبكة البعيدة تصبح الشبكة المحلية. إن نسخ إعداد من جانب إلى آخر دون هذا العكس هو السبب في أن المرشّحات تنتهي بالسماح بالاتجاه الخاطئ تمامًا. اكتب الجدول مرة واحدة وابنِ المرشّحين منه.

اتفق على نموذج الاختيار قبل نسخ أي شيء، لأن التصميم القائم على السياسة والتصميم القائم على المسار يعبّران عن النية نفسها عبر كائنات مختلفة. اكتب اسم النموذج بجانب التدفق، وإلا سيقضي المهندس التالي فترة بعد الظهر في مطابقة كائنات لم تكن قابلة للمقارنة أصلًا.

اعثر على المرشّح الذي ينطبق فعلًا

على جهاز ASA، يكون مرشّح VPN قائمة ACL مرتبطة بسياسة مجموعة ومطبقة على الحركة بعد فك التشفير وقبل التشفير. وتصف وثائق سياسة المجموعة من Cisco أيضًا الوراثة، بما فيها قيمة على مستوى المستخدم تتجاوز قيمة سياسة المجموعة. لذا قد لا تكون قائمة ACL التي عدّلتها هي التي تحكم الجلسة أمامك. والأمر نفسه ينطبق على كائن المستخدم، الذي يمكنه تجاوز المجموعة دون أن يترك أثرًا مرئيًا كبيرًا.

افحص الجلسة الفعلية بدلًا من الكائن الذي تتذكر أنك غيّرته، ولاحظ أي كائن سياسة يوفّرها. تلك الخطوة الواحدة تحلّ عددًا مفاجئًا من التقارير التي تقول إن المرشّح صحيح لكنه لا يعمل.

الاتجاه والمنافذ والحالة المعكوسة

يضع العُرف الموثّق الشبكة البعيدة، أو عناوين عملاء بعيدين المخصصة، في موضع المصدر والشبكة المحلية في موضع الوجهة، مع التعبير عن الردود بتبديل مواضع العناوين. وتقع قواعد المنافذ فوق هذا العُرف وتستحق عناية أكبر من العناوين.

يمكن للنموذج الموثّق أن يجعل قاعدة منفذ وجهة تؤثر على مبادرة معاكسة تستخدم المنفذ المصدر نفسه، وهذا يعني أن المرشّح ليس مجرد قاعدة طلب أحادية الاتجاه مع ردود غير ضارة ملحقة بها. فكّر بصراحة في اتجاهي المبادرة، وأدرج الحالة التي تنوي رفضها.

تحدّ الوثائق نفسها المرشّح بالاتصالات الأولية، فهو ليس تنفيذًا شاملًا لكل قناة ثانوية يفتحها تطبيق خاضع للفحص. وحيث تحتاج السياسة الكاملة تلك التغطية، فهي تنتمي إلى حدّ منفصل بدلًا من قائمة ACL تُمدّ إلى ما بعد غرضها.

اختبر ثلاث حالات قبل أن تعلن الانتهاء

اقبل التدفق المقصود، وارفض خدمة تحظرها السياسة، ومارس حالة الاتجاه المعاكس التي فكّرت فيها. شغّلها في إطار خطة معتمدة وبالهويات والمحدِّدات نفسها التي ستنشرها. الاختبار الذي يُظهر فقط نجاح الخدمة المسموح بها يُثبت النفق، لا السياسة.

أبقِ التغطية المتفاوض عليها وقرار الوصول سجلين، لأن شرح ما يسمح به VPN يتطلب كليهما.