Geniş IPsec seçicisi hər xidmətə icazə deyil

İki peer bütöv bir subnet-i qorumaq üçün razılaşır, sonra kimsə bu razılaşmanı içindəki hər xidmətə çıxış icazəsi kimi oxuyur. Əfsanə budur: seçici tunelin hansı trafiki daşımağa hazır olduğunu bildirir və təşkilatın hansı xidmətlərə icazə verdiyi barədə heç nə demir. Bir cüt cihaz geniş ünvan diapazonu üzərində qanuni olaraq razılaşa bilər, halbuki içindəki giriş siyasəti iki porta icazə verir və hər iki ifadə eyni vaxtda doğru qalır.

Qorunan əhatə icazə deyil

Trafik seçicisi tunel razılaşmasının bir hissəsidir. O, peer-lərin aralarında nəyi şifrələyəcəyini daraldır və ya təsdiqləyir və iki tərəfin daşıyacağı çoxlu axın olduqda geniş seçici çox vaxt idarə etmək üçün ən sadə variantdır. Xidmət filtri yolun başqa nöqtəsində yerləşən başqa bir nəzarətdir və paket deşifrə olunduqdan sonra həqiqətən nədən istifadə edilə biləcəyini müəyyən edir. Bir testin keçməsi üçün filtri silmək siyasət qərarını təsadüfə çevirir.

İki qeydi dizayn sənədində ayrı saxlayın, çünki yalnız seçicini görən oxucu heç vaxt verilməmiş icazəni çıxaracaq. Dəyişiklik qeydində iki sətir bunun qarşısını alır və sonrakı mübahisədən daha az vaxt aparır.

Bir axını hər iki tərəfdən təsvir edin

Təşəbbüskarı, cavab verəni, göstərildiyi kimi mənbə və təyinatı, protokolu və hər iki portu yazın. Sonra həmin adların hər birini digər son nöqtə üçün tərsinə çevirin, çünki müştərinin keçici mənbə portu cavabın təyinat portuna çevrilir və uzaq şəbəkə yerli şəbəkəyə çevrilir. Konfiqurasiyanı bir tərəfdən digərinə bu çevirmə olmadan köçürmək filtrlərin sonda məhz yanlış istiqamətə icazə verməsinin səbəbidir. Cədvəli bir dəfə yazın və hər iki filtri ondan qurun.

Heç nə köçürməzdən əvvəl seçim modeli barədə razılaşın, çünki siyasət əsaslı dizayn və marşrut əsaslı dizayn eyni niyyəti fərqli obyektlərlə ifadə edir. Modelin adını axının yanına yazın, əks halda növbəti mühəndis heç vaxt müqayisə oluna bilməyən obyektləri uyğunlaşdırmaqla günün yarısını keçirəcək.

Həqiqətən tətbiq olunan filtri tapın

ASA-da VPN filtri qrup siyasətinə bağlanmış və deşifrədən sonrakı və şifrələmədən əvvəlki trafikə tətbiq olunan ACL-dir. Cisco-nun qrup siyasəti sənədləri irsiyyəti də təsvir edir, o cümlədən qrup siyasəti dəyərini əvəz edən istifadəçi səviyyəli dəyəri. Beləliklə, redaktə etdiyiniz ACL qarşınızdakı sessiyanı idarə edən ACL olmaya bilər. Eyni şey istifadəçi obyektinə də aiddir, hansı ki arxada çox görünən dəlil qoymadan qrupu üstələyə bilər.

Dəyişdirdiyinizi xatırladığınız obyekti deyil, faktiki sessiyanı yoxlayın və onu hansı siyasət obyektinin verdiyini qeyd edin. Bu tək addım filtr düzgündür, amma işləmir tipli heyrətamiz sayda hesabatı həll edir.

İstiqamət, portlar və əks hal

Sənədləşdirilmiş konvensiya uzaq şəbəkəni və ya təyin edilmiş uzaq müştəri ünvanlarını mənbə mövqeyinə, yerli şəbəkəni isə təyinat mövqeyinə qoyur, cavablar ünvan mövqelərini dəyişməklə ifadə olunur. Port qaydaları bu konvensiyanın üstündə oturur və ünvanlardan daha çox diqqətə layiqdir.

Sənədləşdirilmiş model təyinat portu qaydasının həmin mənbə portundan istifadə edən əks təşəbbüsə təsir etməsinə imkan verə bilər, bu da filtrin sadəcə zərərsiz cavabları olan birtərəfli sorğu qaydası olmadığını göstərir. Hər iki təşəbbüs istiqamətini açıq şəkildə düşünün və rədd etmək niyyətində olduğunuz halı da daxil edin.

Həmin sənədlər filtri ilkin bağlantılarla məhdudlaşdırır, yəni o, yoxlanılan tətbiqin açdığı hər ikinci kanalın universal icrası deyil. Tam siyasətə bu əhatə lazımdırsa, o, məqsədindən kənara dartılan ACL-də deyil, ayrı sərhəddə yer almalıdır.

Bitmiş deməzdən əvvəl üç halı sınaqdan keçirin

Nəzərdə tutulan axını qəbul edin, siyasətin qadağan etdiyi xidmətdən imtina edin və düşündüyünüz əks istiqamət halını məşq etdirin. Onları təsdiqlənmiş plan çərçivəsində, yerləşdirəcəyiniz eyni kimliklər və seçicilərlə işlədin. Yalnız icazə verilən xidmətin işlədiyini göstərən test tuneli nümayiş etdirir, siyasəti yox.

Razılaşdırılmış əhatəni və giriş qərarını iki qeyd kimi saxlayın, çünki VPN-in nəyə icazə verdiyini izah etmək hər ikisini tələb edir.