Beth i'w gofnodi ar gyfer VPN safle-i-safle: detholwyr a chwmpas

Chwe mis ar ôl i dwnnel fynd i mewn, mae is-rwydwaith newydd yn peidio â chyd-fynd â'r polisi a'r unig ddogfen ar y gyfraniad yn dweud VPN swyddfa. Dyna'r methiant y mae cofnod detholwyr yn ei atal, ac mae'n benodol: newidiodd set o gyfeiriadau tra na newidiodd y papurau. Mae ysgrifennu'r cofnod yn gywir yn golygu gwybod pa un o sawl set gyfeiriad yr ydych yn ei disgrifio, a chofnodi'r un y mae'r ochr arall yn ei gorfodi mewn gwirionedd yn hytrach na'r un a ffurfweddwyd gennych.

Nid yw wedi'i ffurfweddu yn golygu wedi'i drafod

Mewn twnnel IPsec sy'n seiliedig ar bolisi, mae pob ochr yn cynnig detholwyr traffig: amrediadau ffynhonnell a chyrchfan ar gyfer y gymdeithas blentyn. Caniateir i'r ochr sy'n ateb gulhau'r cynnig hwnnw , felly gall y gymdeithas sydd wedi'i gosod gynnwys llai na'r hyn y mae'r ffurfweddiad yn ei restru. Mae cofnod sy'n copïo'r ffurfweddiad felly'n disgrifio bwriad, nid cwmpas amddiffyniad cyfredol. Mae'r ddau yn dargyfeirio'n dawel, ac nid oes dim ar dudalen statws y twnnel yn tynnu sylw at hynny.

Cadwch y ddwy golofn, gyda'r dyddiad y gwnaethoch eu harsylwi. Y detholydd wedi'i ffurfweddu yw'r hyn a olygech; yr un wedi'i drafod yw'r hyn y mae'r cnewyllyn yn ei orfodi ar hyn o bryd. Pan fyddant yn wahanol, mae'r gwahaniaeth hwnnw'n esbonio methiant annisgwyl lawer yn amlach nag y mae nam llwybro yn ei wneud.

Nid yw un gymdeithas chwaith yn cynrychioli pob pâr wedi'i ffurfweddu. Gall twnnel â sawl cyfuniad o ddetholwyr orffen â sawl cymdeithas blentyn, ac mae cofnod sy'n rhestru un ohonynt yn rhestr anghyflawn. Rhestrwch hwy yn hytrach na'u crynhoi.

Mae twneli sy'n seiliedig ar lwybrau yn dethol yn wahanol

Gyda rhyngwyneb sy'n seiliedig ar lwybr, y tabl llwybro sy'n penderfynu beth sy'n mynd i mewn i'r twnnel a gall y detholwyr fod yn fwriadol eang. Mae hynny'n ddyluniad cyfreithlon yn hytrach na diofalwch, ac mae'n rhaid i'r cofnod ei ddisgrifio felly. Ysgrifennwch y llwybr, y rhyngwyneb y mae'n cyfeirio ato, a'r polisi mur cadarn sy'n cyfyngu pa wasanaethau sy'n cyrraeddadwy. Mae cwmpas yr amddiffyniad yn eang o fwriad, a chwmpas y gwasanaeth sy'n gwneud y culhau.

Mae copïo templed sy'n seiliedig ar bolisi ar dwnnel sy'n seiliedig ar lwybr yn cynhyrchu dogfen sy'n disgrifio mecanwaith nad yw'r defnydd yn ei ddefnyddio. Yna mae'r peiriannydd nesaf yn chwilio am ddetholwyr nad oeddent i fod yno o gwbl, ac yn casglu bod y twnnel wedi'i ffurfweddu'n anghywir pan nad yw ond wedi'i ddogfennu'n wael.

Mae cyfieithu yn perthyn i'r un tabl

Pan fydd NAT yn cyflwyno amrediad gwahanol i'r ochr arall, cofnodwch y rhagddodiadau gwreiddiol a chyfieithiedig gyda'i gilydd. Nodwch y cam lle mae detholwyr a rheolau mynediad yn eu cyfateb, oherwydd y drefn sy'n penderfynu a fydd yr ochr bell byth yn gweld y cyfeiriad a ysgrifennwyd gennych. Mae tabl â dim ond un o'r ddau amrediad yn waeth na dim tabl, gan ei fod yn edrych yn gyflawn.

Dyma'r manylyn sy'n torri twnnel gweithredol ar ôl newid NAT: mae'r detholydd yn dal i gyfateb i'r rhagddodiad gwreiddiol, mae'r ochr arall bellach yn derbyn un cyfieithiedig, ac mae ei llwybr dychwelyd yn cyfeirio at gyfeiriad nad yw'n bodoli mwyach. Nid oes dim yn cofnodi gwall ar y foment y maent yn peidio â chytuno.

Mae DNS preifat yn perthyn yn yr un lle. Mae enw sy'n datrys i gyfeiriad na ellir ei ddefnyddio o'r safle perthnasol yn wall dogfennu gyda thocyn cymorth ynghlwm, a bydd y twnnel yn cael y bai.

Atodwch y gofyniad gwasanaeth

Nid yw amrediad gwarchodedig yn rhestr caniatâd. Ysgrifennwch pa wasanaethau y dylid eu cyrraedd o ba ffynhonnell, a phwy sy'n berchen ar y rhaglen y tu ôl iddynt. Mae'r ddau faes hyn yn ateb cwestiynau gwahanol, a'u cymysgu yw'r ffordd y mae adolygiad diogelwch yn gorffen yn dadlau am lwybro yn lle mynediad.

Yna enwch y gweinyddwr rhwydwaith sy'n cynnal y rheol. Mae rhestr detholwyr heb berchennog yn heneiddio'n dawel, ac ni ellir gwahaniaethu hen beth oddi wrth beth anghywir pan fydd y twnnel yn torri am ddau y bore. Y perchennog hefyd yw'r person a all gadarnhau bod newid wedi bod yn fwriadol.

Trowch y cofnod yn gynllun prawf

Ar gyfer pob llwybr gofynnol, dewiswch westeiwr ffynhonnell a chyrchfan cynrychioladol a nodwch y llwybr, y gwasanaeth a'r porth ateb a ddisgwylir. Mae hynny'n troi'r ddogfen yn gynllun prawf yn hytrach na disgrifiad. Darllenwch y gymdeithas fyw gyda'r gorchymyn isod, a'i chymharu â'r rhes drafod a ysgrifennwyd gennych.

swanctl --list-sas

Mae sgerbwd o bum llinell fel arfer yn ddigon i gadw'r cofnod yn onest. Mae'r fersiwn isod yn ffitio mewn tocyn newid heb dorri:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Nid yw ping i'r porth yn unig yn brawf derbyn. Nid yw byth yn ymarfer y llwybr tramwy, felly gall basio tra bod pob fflŵd wedi'i anfon ymlaen yn methu. Prawfwch o westeiwr ar un ochr i wasanaeth ar yr ochr arall a chadarnhewch fod yr ateb yn cyrraedd trwy'r twnnel. Os mai dim ond y ping sy'n pasio, mae'r cofnod newydd ddod o hyd i'r broblem anfon ymlaen y cafodd ei ysgrifennu i'w hatal. dogfennaeth anfon ymlaen strongSwan yn esbonio sut mae detholwyr, llwybrau ac anfon ymlaen yn rhyngweithio ar gymar Linux.