Nid yw detholydd IPsec eang yn ganiatâd i bob gwasanaeth

Mae dau bartner yn cytuno i ddiogelu isrwyd gyfan, ac mae rhywun yn darllen y cytundeb hwnnw fel caniatâd i gyrraedd pob gwasanaeth y tu mewn iddi. Dyna’r chwedl: mae’r detholydd yn dweud pa draffig y mae’r twnnel yn barod i’w gario, ac nid yw’n dweud dim am ba wasanaethau y mae’r sefydliad yn eu caniatáu. Gall pâr o ddyfeisiau negodi ystod cyfeiriadau eang yn gyfreithlon tra bo’r polisi mynediad y tu mewn yn caniatáu dau borth, ac mae’r ddau ddatganiad yn parhau’n wir ar yr un pryd.

Nid yw sylw wedi’i ddiogelu yn awdurdodiad

Mae detholydd traffig yn rhan o gytundeb y twnnel. Mae’n culhau neu’n cadarnhau’r hyn y bydd y partneriaid yn ei amgryptio rhyngddynt, ac mae detholydd eang yn aml y peth symlaf i’w redeg pan fo gan y ddwy ochr lawer o lifau i’w cario. Mae’r hidlydd gwasanaeth yn rheolaeth arall ar bwynt arall yn y llwybr, ac mae’n penderfynu beth y gellir ei ddefnyddio mewn gwirionedd ar ôl dadgryptio’r pecyn. Mae tynnu’r hidlydd fel y bydd un prawf yn llwyddo yn troi penderfyniad polisi yn ddamwain.

Cadwch y ddau gofnod ar wahân yn y ddogfen ddylunio, oherwydd bydd darllenydd sy’n gweld y detholydd yn unig yn casglu awdurdodiad na roddwyd erioed. Mae dwy linell mewn cofnod newid yn atal hynny, ac maent yn cymryd llai o amser na’r ddadl sy’n dilyn.

Disgrifiwch un llif o’r ddwy ochr

Nodwch y cychwynnydd, yr ymatebydd, y ffynhonnell a’r gyrchfan fel y’u cyflwynir, y protocol a’r ddau borth. Yna gwrthdroi pob un o’r labeli hynny ar gyfer y pen arall, oherwydd daw porth ffynhonnell dros dro cleient yn borth cyrchfan ateb, a daw’r rhwydwaith pell yn un lleol. Copïo cyfluniad o un ochr i’r llall heb y gwrthdroad hwnnw yw sut y mae hidlwyr yn gorffen caniatáu’r cyfeiriad anghywir yn union. Ysgrifennwch y tabl unwaith ac adeiladwch y ddau hidlydd ohono.

Cytunwch ar y model dethol cyn copïo unrhyw beth, oherwydd mae dyluniad sy’n seiliedig ar bolisi a dyluniad sy’n seiliedig ar lwybr yn mynegi’r un bwriad drwy wrthrychau gwahanol. Ysgrifennwch enw’r model wrth ymyl y llif, neu bydd y peiriannydd nesaf yn treulio prynhawn yn paru gwrthrychau nad oeddent erioed yn gymharol.

Dewch o hyd i’r hidlydd sy’n gymwys mewn gwirionedd

Ar ASA, hidlydd VPN yw ACL sydd ynghlwm wrth bolisi grŵp ac a gymhwysir i draffig ar ôl dadgryptio a chyn amgryptio. Mae dogfennaeth polisi grŵp Cisco hefyd yn disgrifio etifeddiaeth, gan gynnwys gwerth ar lefel defnyddiwr sy’n disodli gwerth y polisi grŵp. Felly efallai nad yr ACL a olygwyd gennych yw’r ACL sy’n llywodraethu’r sesiwn o’ch blaen. Mae’r un peth yn wir am y gwrthrych defnyddiwr, a all orchfygu’r grŵp heb adael fawr o dystiolaeth weladwy ar ôl.

Archwiliwch y sesiwn effeithiol yn hytrach na’r gwrthrych y cofiwch ei newid, a nodwch pa wrthrych polisi sy’n ei gyflenwi. Mae’r un cam hwnnw yn datrys nifer syndod o adroddiadau o’r math mae’r hidlydd yn gywir ond nid yw’n gweithio.

Cyfeiriad, pyrth a’r achos gwrthdro

Mae’r confensiwn a ddogfenwyd yn gosod y rhwydwaith pell, neu’r cyfeiriadau cleient pell a bennwyd, yn safle’r ffynhonnell a’r rhwydwaith lleol yn safle’r gyrchfan, gydag atebion yn cael eu mynegi drwy gyfnewid safleoedd y cyfeiriadau. Mae rheolau porth yn eistedd ar ben y confensiwn hwnnw ac yn haeddu mwy o ofal na’r cyfeiriadau.

Gall y model a ddogfenwyd adael i reol porth cyrchfan effeithio ar gychwyn gwrthdro sy’n defnyddio’r un porth ffynhonnell, sy’n golygu nad yw’r hidlydd yn syml yn rheol cais unffordd ag atebion diniwed ynghlwm. Rhesymwch drwy’r ddau gyfeiriad cychwyn yn benodol, a chynhwyswch yr achos rydych yn bwriadu ei wrthod.

Mae’r un ddogfennaeth yn cyfyngu’r hidlydd i gysylltiadau cychwynnol, felly nid yw’n orfodaeth gyffredinol ar bob sianel eilaidd y mae cymhwysiad a archwiliwyd yn ei hagor. Lle bo angen y sylw hwnnw ar y polisi cyflawn, mae’n perthyn i ffin ar wahân yn hytrach nag i ACL sy’n cael ei ymestyn y tu hwnt i’w ddiben.

Profwch dri achos cyn galw hyn yn barod

Derbyniwch y llif a fwriedir, gwrthodwch wasanaeth y mae’r polisi’n ei wahardd, ac ymarferwch yr achos gwrthdro y gwnaethoch resymu yn ei gylch. Rhedwch nhw o dan gynllun a gymeradwywyd gyda’r un hunaniaethau a detholyddion y byddwch yn eu defnyddio. Mae prawf sy’n dangos yn unig fod y gwasanaeth a ganiateir yn gweithio yn profi’r twnnel, nid y polisi.

Cadwch y sylw a negodwyd a’r penderfyniad mynediad fel dau gofnod, oherwydd mae esbonio beth y mae VPN yn ei ganiatáu yn gofyn am y ddau.