A all un rhyngwyneb WAN wasanaethu VPN safle-i-safle ac o bell?

Gall un cyfeiriad cyhoeddus wasanaethu twnnel cangen a chronfa o ddefnyddwyr sy’n crwydro ar yr un pryd. Ond ni all wasanaethu un rheol dderbyn a rennir. Mae cymheiriaid y gangen a’r defnyddiwr sy’n crwydro yn wahanol o ran pwy maen nhw’n honni eu bod, sut mae’r prawf hwnnw’n cael ei wirio, pa gyfeiriadau maen nhw’n eu cael, a pha ragddodiadau a gaiff ateb iddynt. Unwaith y byddwch yn trin y cyfeiriad allanol fel manylyn cludo yn hytrach nag fel hunaniaeth, mae’r dyluniad yn dod yn llawer symlach.

Prawf cyflym o synnwyr: ceisiwch ysgrifennu’r ddau gofnod derbyn cyn i chi gyffwrdd â’r llwybrydd. Os oes rhaid i un amod paru gwmpasu’r ddau, mae’r polisi eisoes yn amwys, a bydd y symptom cyntaf yn edrych fel nam llwybro neu wal dân pan fo’n nam hunaniaeth mewn gwirionedd.

Dau gofnod cyn unrhyw ffurfweddiad

Mae cofnod y gangen yn fyr ac yn sefydlog. Mae’n rhestru cyfeiriad y cymheiriaid neu enw’r dystysgrif, yr allwedd a rennir ymlaen llaw neu’r pwynt ymddiriedaeth tystysgrif, yr isrwydi a warchodir ar y ddwy ochr, rhyngwyneb y twnnel, a’r llwybr statig sy’n anfon traffig tuag at y gangen i’r twnnel hwnnw. Mae pob maes yn ymwneud ag un cymheir hysbys a set sefydlog o ragddodiadau.

Mae cofnod crwydro yn ehangach ac yn fwy personol. Mae’n rhestru protocol a phorth y cleient, sut mae defnyddiwr neu ddyfais yn dilysu, y gronfa gyfeiriadau a roddir wrth gysylltu, yr adnoddau y caiff y gronfa honno eu cyrraedd, rhagddodiadau’r twnnel hollt, y gweinyddwyr DNS a wthir at y cleient, ac unrhyw ail ffactor. Mae pob maes yn ateb cwestiwn am nifer anhysbys o ddefnyddwyr yn hytrach nag am un porth.

Y gwahaniaeth hwnnw mewn manylder yw’r rheswm cyfan dros y ddau rôl wahanu. Gall proffil cangen ymddiried yn ddiogel mewn un allwedd oherwydd bod yr allwedd yn perthyn i un ddyfais ar un safle. Mae proffil crwydro sy’n ymddiried mewn un allwedd grŵp i bawb yn dymchwel atebolrwydd fesul defnyddiwr, a ganfyddir hynny fel arfer yn ddiweddarach, wrth adolygu digwyddiad yn hytrach nag wrth gyflwyno.

Ble mae paru cymheiriaid a dilysu yn gwahanu

Ar IOS XE mae proffil IKEv2 yn cario’r paramedrau na ellir eu trafod a’r amodau a ddefnyddir i ddewis y cymheir. Mae hynny’n golygu bod angen proffil eu hunain ar ochr y gangen ac ar ochr crwydro, hyd yn oed pan fyddant yn terfynu ar yr un rhyngwyneb a hyd yn oed pan fyddant yn rhannu un PKI cryptograffig. Mae Cisco yn dogfennu rolau’r proffil, dilysu a pharu yn ei ganllaw ffurfweddu IKEv2 ar gyfer IOS XE 17.

Mae proffil y gangen fel arfer yn paru hunaniaeth gul: cyfeiriad o bell, FQDN, neu bwnc tystysgrif. Mae rhywbeth fel match identity remote address 198.51.100.10 255.255.255.255 yn pinio un cymheir, ac mae authentication remote pre-share ag allwedd a storiwyd fesul safle yn ddigon. Cadwch y paru mor benodol ag y mae’r rhestr gymheiriaid yn ei ganiatáu, oherwydd gall carden wyllt sy’n gorgyffwrdd yn uwch yn y drefn ddewis dynnu traffig y gangen i’r proffil anghywir.

Ni all proffil crwydro binio cyfeiriad, felly mae’n paru grŵp, key-id, neu faes tystysgrif, ac yna’n trosglwyddo’r gwir wiriad defnyddiwr i AAA neu i’r polisi awdurdodi sydd ynghlwm wrth y proffil. Mae’r gwahanu hwnnw’n bwysig: mae dilysu cymheiriaid yn ateb a ganiateir i’r cleient adeiladu twnnel, ac mae awdurdodi fesul defnyddiwr yn ateb pa gronfa a pha adnoddau y mae’n eu cael. Mae defnyddio allwedd y gangen fel mewngofnodi cyffredinol yn taflu’r ail ateb i ffwrdd.

Mae angen yr un rhaniad ar anfon ymlaen a chyfieithu

Mae derbyn a chyrraedd yn broblemau ar wahân. Mae cyfnewidiad IKE ac IPsec llwyddiannus yn profi bod y partïon yn cytuno ar allweddi; nid yw’n creu llwybr i’r gronfa a gafodd y cleient. Felly mae angen llwybr dychwelyd ar gronfeydd mynediad o bell, naill ai llwybr statig sy’n pwyntio at ryngwyneb y twnnel neu brotocol llwybro sy’n chwistrellu crynodeb y gronfa. Mae rhagddodiadau’r gangen fel arfer yn dod drwy’r un broses llwybro sy’n gwasanaethu gweddill y safle.

Cyfieithu yw’r man lle mae’r ddau rôl yn taro yn erbyn ei gilydd amlaf. Mae traffig safle-i-safle sy’n rhaid iddo gadw ei gyfeiriadau preifat angen eithriad NAT wedi’i gyfyngu i’r ddau ragddodiad hynny, yn y ddau gyfeiriad. Mae cleientiaid crwydro fel arfer angen eithriad ar gyfer eu traffig yn y twnnel hefyd, ond mae eu traffig tuag at y rhyngrwyd naill ai’n osgoi’r twnnel drwy’r twnnel hollt neu’n gadael yn y canolfan ar ôl NAT. Mae eithrio popeth sy’n dod o dwnnel yn gamgymeriad clasurol, oherwydd mae hefyd yn tynnu cyfieithu oddi ar draffig sydd ei wir angen.

Cadwch y rheolau eithrio mor gul â’r rheolau derbyn. Os yw crynodeb cronfa a rhagddodiad cangen yn gorgyffwrdd, daw’r llwybr dychwelyd yn amwys ymhell cyn i unrhyw becyn gael ei ollwng, ac mae’r symptom yn ymddangos fel un safle sy’n colli isrwyd yn ysbeidiol yn hytrach nag fel methiant twnnel glân.

Achosion derbyn sy’n datgelu polisi croes

Adeiladwch bedwar achos a’u rhedeg mewn trefn. Mae gwesteiwr y gangen yn cyrraedd adnodd sy’n perthyn i’r gangen yn unig. Mae cleient crwydro yn cyrraedd yr un adnodd drwy gyfeiriad ei gronfa. Mae cleient crwydro yn ceisio rhagddodiad cangen na ddylai ei gyffwrdd. Mae cymheiriaid y gangen yn ceisio cael cyfeiriad o’r gronfa mynediad o bell. Y ddau olaf yw’r rhai sy’n dal proffil a rennir, oherwydd maen nhw’n methu’n dawel yn y monitro arferol.

Yna cadarnhewch yr haen ddata yn hytrach na’r ffurfweddiad. Mae show crypto ikev2 sa a show crypto ipsec sa yn dweud pa broffil a pha ddetholwyr a gariodd bob llif, tra bo show ip nat translations a chyfrifwyr y twnnel yn dangos a oedd y llwybr dychwelyd a’r eithriad wedi cyfateb mewn gwirionedd. Mae tracer neu ddal pecynnau ar ryngwyneb y twnnel yn cau’r ddolen.

Ysgrifennwch yr hunaniaeth a arsylwyd, cyfeiriad y gronfa, a’r polisi a ddewiswyd wrth bob canlyniad. Mae’r rhediad drosodd pan fydd pob achos yn cyfateb i un cofnod yn union, ac nad oes angen eithriad dros dro ar unrhyw achos i basio.