Bir WAN interfeysi saytlararası və uzaqdan giriş VPN-inə eyni vaxtda xidmət edə bilərmi?

Bir ictimai ünvan eyni vaxtda həm filial tunelini, həm də gəzən istifadəçi hovuzunu qarşılaya bilər. Ancaq tək bir ümumi qəbul qaydasını qarşılaya bilməz. Filial həmyaşıdı ilə gəzən istifadəçi fərqlənir kim olduqlarını necə sübut etmələri, bu sübutun necə yoxlanması, hansı ünvanları almaları və hansı prefikslərin onlara cavab verə bilməsi baxımından. Xarici ünvana kimlik deyil, nəqliyyat detallı kimi baxdıqda dizayn xeyli sadələşir.

Sürətli sağlamlıq testi: router-ə toxunmadan əvvəl hər iki qəbul qeydini yazmağa çalışın. Əgər tək bir uyğunlaşdırma şərti hər ikisini əhatə etməlidirsə, siyasət artıq ikimənalıdır və ilk simptom marşrut və ya firewall nasazlığı kimi görünəcək, halbuki əslində kimlik nasazlığıdır.

Hər hansı konfiqurasiyadan əvvəl iki qeyd

Filial qeydi qısa və sabitdir. O, həmyaşıd ünvanını və ya sertifikat adını, əvvəlcədən paylaşılmış açarı və ya sertifikat etimad nöqtəsini, hər iki tərəfdə qorunan alt şəbəkələri, tunel interfeysini və filiala yönəlmiş trafiki həmin tunelə göndərən statik marşrutu sadalayır. Hər sahə bir tanınmış həmyaşıd və sabit prefiks dəsti ilə bağlıdır.

Gəzən istifadəçi qeydi daha geniş və daha şəxsidir. O, müştəri protokolunu və portunu, istifadəçinin və ya cihazın necə autentifikasiya olunduğunu, qoşulma zamanı verilən ünvan hovuzunu, bu hovuzun çıxa biləcəyi resursları, split-tunel prefikslərini, müştəriyə ötürülən DNS serverlərini və hər hansı ikinci faktoru sadalayır. Hər sahə bir şlüzə deyil, naməlum sayda istifadəçiyə aid suala cavab verir.

Detallılıq fərqi iki rolun ayrılmasının bütün səbəbidir. Filial profili bir açarı etibarla saxlaya bilər, çünki açar bir saytda bir cihaza aiddir. Hər kəs üçün tək qrup açarına etibar edən gəzən profil isə istifadəçi üzrə məsuliyyəti sıradan çıxarır; bu adətən sonradan, yayımlama zamanı deyil, insident araşdırması zamanı aşkar edilir.

Həmyaşıd uyğunlaşdırması və autentifikasiya harada ayrılır

IOS XE-də IKEv2 profili danışıqla razılaşdırıla bilməyən parametrləri və həmyaşıdın seçilməsi üçün istifadə olunan şərtləri daşıyır. Bu o deməkdir ki, filial tərəfi və gəzən tərəf eyni interfeysdə bitsə və hətta eyni kripto PKI-nı paylaşsa da, hərəsinin öz profili lazımdır. Cisco profil, autentifikasiya və uyğunlaşdırma rollarını IOS XE 17 üçün IKEv2 konfiqurasiya bələdçisində sənədləşdirir.

Filial profili adətən dar kimliyə uyğunlaşır: uzaq ünvan, FQDN və ya sertifikat subyekti. match identity remote address 198.51.100.10 255.255.255.255 kimi bir sətir bir həmyaşıdı təsbit edir və hər sayt üçün saxlanan açarla authentication remote pre-share kifayət edir. Uyğunlaşdırmanı həmyaşıd siyahısının imkan verdiyi qədər dəqiq saxlayın, çünki seçim sırasında daha yuxarıda olan üst-üstə düşən wildcard filial trafikini yanlış profilə çəkə bilər.

Gəzən profil ünvanı təsbit edə bilmir, ona görə qrupa, açar ID-yə və ya sertifikat sahəsinə uyğunlaşır və sonra əsl istifadəçi yoxlamasını AAA-ya və ya profilə bağlanmış səlahiyyət siyasətinə ötürür. Bu ayrılıq vacibdir: həmyaşıd autentifikasiyası müştərinin tunel qurmağa icazəsi olub-olmadığını cavablandırır, istifadəçi üzrə səlahiyyət isə hansı hovuzu və hansı resursları aldığını cavablandırır. Filial açarını universal giriş kimi istifadə etmək ikinci cavabı atır.

Yönləndirmə və tərcümə də eyni ayrılığa ehtiyac duyur

Qəbul və çatımlılıq ayrı məsələlərdir. Uğurlu IKE və IPsec mübadiləsi tərəflərin açarlar barədə razılaşdığını sübut edir; müştərinin aldığı hovuza marşrut yaratmır. Ona görə uzaqdan giriş hovuzlarına geri yol lazımdır: ya tunel interfeysinə baxan statik marşrut, ya da hovuz xülasəsini yeridən marşrutlaşdırma protokolu. Filial prefiksləri adətən saytın qalan hissəsinə xidmət edən həmin marşrutlaşdırma prosesi ilə gəlir.

Tərcümə iki rolun ən çox toqquşduğu yerdir. Şəxsi ünvanlarını saxlamalı olan saytlararası trafik bu iki prefiksə hüdudlanmış NAT azadlığına ehtiyac duyur, hər iki istiqamətdə. Gəzən müştərilər adətən tuneldaxili trafiklərinin də azad edilməsinə ehtiyac duyur, amma internetə yönəlmiş trafikləri ya split-tunel vasitəsilə tuneldən yan keçir, ya da NAT-dan sonra hub-da çıxır. Tuneldən gələn hər şeyi azad etmək klassik səhvdir, çünki bu, həqiqətən ehtiyacı olan trafikdən tərcüməni də götürür.

Azadlıq qaydalarını qəbul qaydaları qədər dar saxlayın. Hovuz xülasəsi ilə filial prefiksi üst-üstə düşərsə, geri yol hər hansı paket atılmadan çox əvvəl ikimənalı olur və simptom təmiz tunel nasazlığı kimi deyil, bir saytın arabir alt şəbəkə itirməsi kimi görünür.

Kəsişən siyasəti üzə çıxaran qəbul halları

Dörd hal qurun və onları sıra ilə işə salın. Filial hostu yalnız filiala aid resursa çıxır. Gəzən müştəri həmin resursa öz hovuz ünvanı ilə çıxır. Gəzən müştəri toxunmamalı olduğu filial prefiksinə çıxmağa çalışır. Filial həmyaşıdı uzaqdan giriş hovuzundan ünvan almağa çalışır. Son iki hal ümumi profili tutan hallardır, çünki normal monitorinqdə səssizcə uğursuz olurlar.

Sonra konfiqurasiyanı deyil, məlumat müstəvisini təsdiqləyin. show crypto ikev2 sa və show crypto ipsec sa hər axını hansı profilin və seçicilərin daşıdığını deyir, show ip nat translations və tunel sayğacları isə geri yolun və azadlığın həqiqətən uyğunlaşıb-uyğunlaşmadığını göstərir. Tunel interfeysində tracer və ya paket tutma dövrəni bağlayır.

Müşahidə olunan kimliyi, hovuz ünvanını və seçilmiş siyasəti hər nəticənin yanında yazın. Hər hal tam bir qeydə uyğunlaşanda və heç bir hal keçmək üçün müvəqqəti istisna tələb etmədikdə gediş bitmiş sayılır.