هل يمكن لواجهة WAN واحدة أن تخدم VPN من موقع إلى موقع وVPN للوصول عن بُعد؟

يمكن لعنوان عام واحد أن يخدم نفق فرع ومجموعة مستخدمين متجولين في الوقت نفسه. لكنه لا يمكن أن يخدم قاعدة قبول مشتركة واحدة. يختلف نظير الفرع والمستخدم المتجول فيمن يثبتون هويتهم، وكيف يُفحص ذلك الإثبات، وما العناوين التي يحصلون عليها، وأي البادئات يجوز أن ترد عليهم. وبمجرد أن تتعامل مع العنوان الخارجي كتفصيل نقل لا كهوية، يصبح التصميم أبسط بكثير.

اختبار سريع للسلامة: حاول كتابة سجلَي القبول قبل أن تلمس الموجه. فإذا كان على شرط مطابقة واحد أن يغطي الاثنين، فالسياسة غامضة أصلاً، وستبدو الأعراض الأولى كعطل في التوجيه أو الجدار الناري مع أنها في الحقيقة عطل في الهوية.

سجلان قبل أي إعداد

سجل الفرع قصير ومستقر. يذكر عنوان النظير أو اسم الشهادة، المفتاح المشترك مسبقاً أو نقطة الثقة بالشهادة، الشبكات الفرعية المحمية على الجانبين، واجهة النفق، والمسار الثابت الذي يرسل حركة المرور المتجهة إلى الفرع داخل ذلك النفق. كل حقل يتعلق بنظير واحد معروف ومجموعة ثابتة من البادئات.

سجل التجوال أوسع وأكثر شخصية. يذكر بروتوكول العميل ومنفذه، وكيف يثبت مستخدم أو جهاز هويته، ومجموعة العناوين التي تُمنح عند الاتصال، والموارد التي يجوز لتلك المجموعة الوصول إليها، وبادئات النفق المنقسم، وخوادم DNS التي تُدفع إلى العميل، وأي عامل ثانٍ. كل حقل يجيب عن سؤال يتعلق بعدد غير معروف من المستخدمين لا عن بوابة واحدة.

هذا الاختلاف في درجة التفصيل هو سبب افتراق الدورين كله. يمكن لملف الفرع أن يثق بمفتاح واحد بأمان لأن المفتاح يخص جهازاً واحداً في موقع واحد. أما ملف التجوال الذي يثق بمفتاح جماعي واحد للجميع فيُسقط المساءلة الفردية، وهو ما يُكتشف عادة لاحقاً، أثناء مراجعة حادث لا أثناء النشر.

أين تفترق مطابقة النظير والمصادقة

في IOS XE يحمل ملف IKEv2 المعطيات التي لا يمكن التفاوض عليها والشروط المستخدمة لاختيار النظير. وهذا يعني أن جانب الفرع وجانب التجوال يحتاج كل منهما إلى ملفه الخاص حتى عندما ينتهيان على الواجهة نفسها وحتى عندما يشتركان في بنية PKI للتشفير. توثّق Cisco أدوار الملف والمصادقة والمطابقة في دليل إعداد IKEv2 لـ IOS XE 17.

عادةً يطابق ملف الفرع هوية ضيقة: عنوان بعيد، أو اسم FQDN، أو موضوع شهادة. وشيء مثل match identity remote address 198.51.100.10 255.255.255.255 يثبّت نظيراً واحداً، ويكفي authentication remote pre-share مع مفتاح يُخزَّن لكل موقع. أبقِ المطابقة محددة بقدر ما يسمح به سجل النظيرات، لأن حرفاً بديلاً متداخلاً في مرتبة اختيار أعلى قد يسحب حركة الفرع إلى الملف الخطأ.

لا يمكن لملف التجوال تثبيت عنوان، فيطابق مجموعة أو معرّف مفتاح أو حقلاً في الشهادة، ثم يسلّم فحص المستخدم الحقيقي إلى AAA أو إلى سياسة التخويل المرتبطة بالملف. هذا الفصل مهم: مصادقة النظير تجيب عما إذا كان العميل مسموحاً له ببناء نفق، والتخويل لكل مستخدم يجيب عن المجموعة والموارد التي يحصل عليها. واستخدام مفتاح الفرع كدخول شامل يلغي الإجابة الثانية.

التوجيه والترجمة يحتاجان إلى الفصل نفسه

القبول والوصول مسألتان منفصلتان. تبادل IKE وIPsec الناجح يثبت أن الطرفين متفقان على المفاتيح؛ لكنه لا ينشئ مساراً إلى المجموعة التي حصل عليها العميل. لذلك تحتاج مجموعات الوصول عن بُعد إلى مسار عودة، إما مسار ثابت يشير إلى واجهة النفق أو بروتوكول توجيه يضخ ملخص المجموعة. وبادئات الفرع تصل عادة عبر عملية التوجيه نفسها التي تخدم بقية الموقع.

الترجمة هي حيث يتصادم الدوران غالباً. حركة المرور بين المواقع التي يجب أن تحتفظ بعناوينها الخاصة تحتاج إلى إعفاء من NAT مقصور على هاتين البادئتين، في الاتجاهين. والعميل المتجول يحتاج عادة إلى إعفاء حركته داخل النفق أيضاً، أما حركته المتجهة إلى الإنترنت فتتجاوز النفق عبر النفق المنقسم أو تخرج عند المحور بعد NAT. وإعفاء كل ما يصل من نفق هو الخطأ الكلاسيكي، لأنه يزيل الترجمة أيضاً عن حركة تحتاجها فعلاً.

أبقِ قواعد الإعفاء ضيقة بقدر قواعد القبول. فإذا تداخل ملخص مجموعة وبادئة فرع، يصبح مسار العودة غامضاً قبل أن يُسقط أي حزمة بوقت طويل، ويظهر العرض كموقع يفقد شبكة فرعية على فترات لا كعطل نفق صريح.

حالات قبول تكشف السياسة المتقاطعة

ابنِ أربع حالات ونفّذها بالترتيب. مضيف في الفرع يصل إلى مورد خاص بالفرع. عميل متجول يصل إلى المورد نفسه عبر عنوان مجموعته. عميل متجول يحاول الوصول إلى بادئة فرع لا يجوز أن يلمسها. نظير فرع يحاول الحصول على عنوان من مجموعة الوصول عن بُعد. الحالتان الأخيرتان هما اللتان تكشفان الملف المشترك، لأنهما تفشلان بصمت في المراقبة العادية.

ثم تحقّق من مستوى البيانات لا من الإعداد. يعرض show crypto ikev2 sa ثم show crypto ipsec sa أي ملف ومحددات حملت كل تدفق، ويعرض show ip nat translations ثم عدّات النفق هل طابق مسار العودة والإعفاء فعلاً. أمّا أداة تتبع أو التقاط حزم على واجهة النفق فيغلق الحلقة.

اكتب الهوية المرصودة وعنوان المجموعة والسياسة المختارة بجانب كل نتيجة. تكون الجولة منتهية عندما تُسند كل حالة إلى سجل واحد بالضبط، ولا تحتاج أي حالة إلى استثناء مؤقت لتنجح.