Широкият IPsec селектор не е разрешение за всяка услуга

Два партньора се съгласяват да защитават цяла подмрежа и някой прочита това споразумение като разрешение да достига до всяка услуга в нея. Това е митът: селекторът казва какъв трафик тунелът е готов да пренася и не казва нищо за това кои услуги разрешава организацията. Две устройства могат законно да договорят широк диапазон от адреси, докато политиката за достъп в него разрешава два порта, и двете твърдения остават верни по едно и също време.

Защитеното покритие не е оторизация

Селекторът на трафик е част от споразумението за тунела. Той стеснява или потвърждава какво ще криптират партньорите помежду си и широкият селектор често е най-простото за експлоатация, когато двете страни имат много потоци за пренасяне. Филтърът за услуги е друга контрола в друга точка от пътя и решава какво реално може да се използва след декриптиране на пакета. Премахването на филтъра, за да мине един тест, превръща едно политическо решение в произшествие.

Пазете двата записа отделно в проектния документ, защото читател, който вижда само селектора, ще изведе оторизация, която никога не е била давана. Два реда в запис за промяна предотвратяват това и отнемат по-малко време от спора, който следва.

Опишете един поток от двата края

Запишете инициатора, отговарящия, източника и дестинацията във вида, в който са представени, протокола и двата порта. След това обърнете всяко от тези обозначения за другия край, защото ефимерният порт-източник на клиента става порт-дестинация на отговора, а отдалечената мрежа става локалната. Конфигурация, копирана от едната страна на другата без това обръщане, е причината филтрите накрая да разрешават точно грешната посока. Напишете таблицата веднъж и изградете двата филтъра от нея.

Договорете модела на избор, преди да копирате каквото и да е, защото дизайнът, базиран на политика, и дизайнът, базиран на маршрут, изразяват едно и също намерение чрез различни обекти. Запишете името на модела до потока, иначе следващият инженер ще прекара следобеда в съпоставяне на обекти, които никога не са били сравними.

Открийте филтъра, който наистина се прилага

На ASA филтърът за VPN е ACL, прикачен към групова политика и прилаган към трафик след декриптиране и преди криптиране. Документацията на Cisco за груповите политики описва и наследяване, включително стойност на ниво потребител, която замества стойността на груповата политика. Затова ACL, който сте редактирали, може да не е този, който управлява сесията пред вас. Същото важи за потребителския обект, който може да отмени групата, без да остави много видими следи.

Инспектирайте ефективната сесия, а не обекта, който помните, че сте променили, и отбележете кой обект от политиката я предоставя. Тази единствена стъпка решава изненадващо много доклади от вида филтърът е правилен, но не работи.

Посока, портове и обратният случай

Документираната конвенция поставя отдалечената мрежа или зададените адреси на отдалечени клиенти в позицията на източник, а локалната мрежа в позицията на дестинация, като отговорите се изразяват чрез разменяне на позициите на адресите. Правилата за портове стоят върху тази конвенция и заслужават повече внимание от адресите.

Документираният модел може да позволи правило за порт-дестинация да влияе върху обратна инициация, която използва същия порт-източник, което означава, че филтърът не е просто еднопосочно правило за заявка с безобидни отговори. Обмислете изрично двете посоки на инициация и включете случая, който възнамерявате да откажете.

Същата документация ограничава филтъра до първоначални връзки, така че той не е универсално прилагане на всеки вторичен канал, който инспектирано приложение отваря. Когато пълната политика се нуждае от такова покритие, то принадлежи на отделна граница, а не на ACL, разтегнат отвъд предназначението си.

Тествайте три случая, преди да го обявите за готово

Приемете желания поток, откажете услуга, която политиката забранява, и упражнете обратния случай, за който разсъждавахте. Изпълнете ги по одобрен план със същите идентичности и селектори, които ще внедрите. Тест, който показва само работещата разрешена услуга, демонстрира тунела, а не политиката.

Пазете договореното покритие и решението за достъп като два записа, защото обясняването какво разрешава една VPN изисква и двете.