Široki IPsec selektor nije dozvola za svaku uslugu

Dva partnera se slože da štite cijelu podmrežu, a neko to slaganje pročita kao dozvolu za pristup svakoj usluzi unutar nje. To je mit: selektor kaže koji je promet tunel spreman prenositi i ne govori ništa o tome koje usluge organizacija dozvoljava. Dva uređaja mogu legitimno pregovarati o širokom rasponu adresa dok pristupna politika unutar njega dozvoljava dva porta, i obje tvrdnje ostaju tačne u isto vrijeme.

Zaštićeno pokriće nije ovlaštenje

Selektor prometa dio je sporazuma o tunelu. On sužava ili potvrđuje šta će partneri šifrovati među sobom, a široki selektor je često najjednostavnija stvar za upravljanje kada dvije strane imaju mnogo tokova. Filter usluga je druga kontrola na drugom mjestu u putu i odlučuje šta se zaista smije koristiti nakon dešifrovanja paketa. Uklanjanje filtera da bi jedan test prošao pretvara odluku politike u nesreću.

Držite dva zapisa odvojeno u projektnom dokumentu, jer čitalac koji vidi samo selektor zaključiće da postoji ovlaštenje koje nikada nije dato. Dva reda u zapisu o izmjeni to sprječavaju i traju kraće od rasprave koja slijedi.

Opišite jedan tok s oba kraja

Zapišite inicijatora, odgovarača, izvor i odredište kako su predstavljeni, protokol i oba porta. Zatim obrnite svaku od tih oznaka za drugi kraj, jer efemerni izvorni port klijenta postaje odredišni port odgovora, a udaljena mreža postaje lokalna. Konfiguracija kopirana s jedne strane na drugu bez tog obrtanja je način na koji filteri na kraju dozvoljavaju tačno pogrešan smjer. Napišite tabelu jednom i izgradite oba filtera iz nje.

Dogovorite model odabira prije nego bilo šta kopirate, jer dizajn zasnovan na politici i dizajn zasnovan na ruti izražavaju istu namjeru kroz različite objekte. Upišite ime modela pored toka, inače će sljedeći inženjer provesti pola dana upoređujući objekte koji nikada nisu bili uporedivi.

Pronađite filter koji se zaista primjenjuje

Na ASA, VPN filter je ACL vezan za grupnu politiku i primijenjen na promet nakon dešifrovanja i prije šifrovanja. Cisco dokumentacija o grupnoj politici opisuje i nasljeđivanje, uključujući vrijednost na nivou korisnika koja zamjenjuje vrijednost grupne politike. Zato ACL koji ste uredili možda nije ACL koji upravlja sesijom pred vama. Isto vrijedi za korisnički objekat, koji može nadjačati grupu a da ne ostavi mnogo vidljivih tragova.

Pregledajte stvarnu sesiju, a ne objekat za koji pamtite da ste ga mijenjali, i zabilježite koji objekat politike ga daje. Taj jedan korak rješava iznenađujuće mnogo izvještaja tipa filter je ispravan ali ne radi.

Smjer, portovi i obrnuti slučaj

Dokumentovana konvencija stavlja udaljenu mrežu, ili dodijeljene adrese udaljenih klijenata, na mjesto izvora, a lokalnu mrežu na mjesto odredišta, pri čemu se odgovori izražavaju zamjenom mjesta adresa. Pravila portova stoje iznad te konvencije i zaslužuju više pažnje od adresa.

Dokumentovani model može dozvoliti da pravilo odredišnog porta utiče na obrnutu inicijaciju koja koristi taj isti izvorni port, što znači da filter nije samo jednosmjerno pravilo zahtjeva sa bezopasnim odgovorima. Promislite izričito oba smjera inicijacije i uključite slučaj koji namjeravate odbiti.

Ista dokumentacija ograničava filter na početne veze, pa on nije univerzalno provođenje svakog sekundarnog kanala koji pregledana aplikacija otvori. Kada kompletnoj politici treba takvo pokriće, ono pripada zasebnoj granici, a ne ACL-u koji se rasteže preko svoje svrhe.

Testirajte tri slučaja prije nego što to proglasite gotovim

Prihvatite predviđeni tok, odbijte uslugu koju politika zabranjuje i vježbajte obrnuti slučaj o kojem ste razmišljali. Pokrenite ih po odobrenom planu s istim identitetima i selektorima koje ćete primijeniti. Test koji pokazuje samo da dozvoljena usluga radi dokazuje tunel, a ne politiku.

Držite pregovarano pokriće i odluku o pristupu kao dva zapisa, jer objašnjenje šta VPN dozvoljava zahtijeva oba.