Шырокі селектар IPsec — гэта не дазвол на кожную паслугу

Два бакі дамаўляюцца абараняць цэлую падсетку, і нехта чытае гэтую дамоўленасць як дазвол дасягаць кожнай паслугі ўнутры яе. Гэта міф: селектар паказвае, які трафік тунель гатовы пераносіць, і нічога не кажа пра тое, якія паслугі дазваляе арганізацыя. Дзве прылады могуць цалкам законна дамовіцца пра шырокі дыяпазон адрасоў, пакуль палітыка доступу ўнутры яго дазваляе два парты, і абодва сцверджанні застаюцца праўдзівымі адначасова.

Ахова — гэта не паўнамоцтва

Селектар трафіку — частка дамоўленасці пра тунель. Ён звужае або пацвярджае, што бакі будуць шыфраваць паміж сабой, і шырокі селектар часта аказваецца самым простым у эксплуатацыі, калі ў абодвух бакоў шмат патокаў. Фільтр паслуг — гэта іншае кіраванне ў іншым пункце шляху, і ён вырашае, чым можна фактычна карыстацца пасля расшыфроўкі пакета. Выдаленне фільтра, каб прайшоў адзін тэст, ператварае палітычнае рашэнне ў няшчасны выпадак.

Трымайце два запісы асобна ў дакуменце праекта, бо чытач, які бачыць толькі селектар, зробіць выснову пра паўнамоцтвы, якіх ніколі не давалі. Два радкі ў запісе пра змену прадухіляюць гэта і займаюць менш часу, чым спрэчка, што ідзе следам.

Апішыце адзін паток з абодвух бакоў

Запішыце ініцыятара, адказвальніка, крыніцу і прызначэнне ў тым выглядзе, як яны пададзены, пратакол і абодва парты. Затым перавярніце кожную з гэтых назваў для іншага канца, бо эфемерны парт-крыніца кліента становіцца партам-прызначэннем адказу, а аддаленая сетка становіцца лакальнай. Канфігурацыя, скапіяваная з аднаго боку на другі без гэтага перавяртання, — гэта як фільтры ўрэшце дазваляюць менавіта няправільны кірунак. Запішыце табліцу адзін раз і пабудуйце абодва фільтры з яе.

Дагаварыцеся пра мадэль выбару, перш чым нешта капіраваць, бо праект на аснове палітыкі і праект на аснове маршруту выражаюць адну і тую ж думку праз розныя аб’екты. Запішыце назву мадэлі побач з патокам, інакш наступны інжынер прамарнуе паўдня на супастаўленне аб’ектаў, якія ніколі не былі супастаўнымі.

Знайдзіце фільтр, які сапраўды ўжываецца

На ASA фільтр VPN — гэта ACL, далучаны да палітыкі групы і ўжываны да трафіку пасля расшыфроўкі і перад шыфраваннем. Дакументацыя Cisco пра палітыку групы таксама апісвае наследаванне, уключаючы значэнне ўзроўню карыстальніка, якое перавышае значэнне палітыкі групы. Такім чынам, ACL, які вы адрэдагавалі, можа быць не тым ACL, што кіруе сеансам перад вамі. Тое ж датычыцца аб’екта карыстальніка, які можа пераважыць групу, не пакідаючы шмат бачных слядоў.

Даследуйце фактычны сеанс, а не аб’ект, які вы памятаеце як зменены, і адзначце, які аб’ект палітыкі яго падае. Гэты адзін крок вырашае здзіўляльна шмат справаздач тыпу фільтр правільны, але не працуе.

Кірунак, парты і адваротны выпадак

Дакументаваная ўмова ставіць аддаленую сетку або прызначаныя адрасы аддаленых кліентаў у пазіцыю крыніцы, а лакальную сетку — у пазіцыю прызначэння, пры гэтым адказы выражаюцца абменам пазіцый адрасоў. Правілы партоў стаяць над гэтай умовай і заслугоўваюць большай увагі, чым адрасы.

Дакументаваная мадэль можа дазволіць правілу парта прызначэння ўплываць на адваротную ініцыяцыю, якая выкарыстоўвае той самы парт-крыніцу, а гэта значыць, што фільтр не проста аднабаковы правіла запыту з бясшкоднымі адказамі. Прадумайце абодва кірункі ініцыяцыі яўна і ўключыце выпадак, які вы маеце намер адхіліць.

Тая ж дакументацыя абмяжоўвае фільтр пачатковымі злучэннямі, таму ён не з’яўляецца ўніверсальным выкананнем кожнага другаснага канала, які адкрывае даследаваная праграма. Там, дзе поўнай палітыцы патрэбна такое пакрыццё, яно належыць асобнай мяжы, а не ACL, расцягнутаму за межы свайго прызначэння.

Праверце тры выпадкі, перш чым назваць гэта зробленым

Прыміце жаданы паток, адхіліце паслугу, якую палітыка забараняе, і практыкуйце адваротны кірунак, пра які вы думалі. Запусціце іх па зацверджаным плане з тымі ж ідэнтычнасцямі і селектарамі, якія будзеце разгортваць. Тэст, які паказвае толькі працу дазволенай паслугі, дэманструе тунель, а не палітыку.

Трымайце ўзгодненае пакрыццё і рашэнне пра доступ як два запісы, бо тлумачэнне таго, што дазваляе VPN, патрабуе абодвух.