En bred IPsec-selektor er ikke tilladelse til hver tjeneste

To parter bliver enige om at beskytte et helt subnet, og nogen læser den aftale som tilladelse til at nå hver tjeneste indeni. Det er myten: selektoren siger, hvilken trafik tunnelen er villig til at bære, og den siger intet om, hvilke tjenester organisationen tillader. To enheder kan legitimt forhandle et bredt adresseområde, mens adgangspolitikken indeni tillader to porte, og begge udsagn er sande samtidig.

Beskyttet dækning er ikke autorisation

En trafikselektor er en del af tunneleftalen. Den indsnævrer eller bekræfter, hvad parterne vil kryptere mellem sig, og en bred selektor er ofte det enkleste at drive, når de to sider har mange flows at bære. Tjenestefilteret er en anden kontrol på et andet punkt i stien, og det afgør, hvad der faktisk må bruges, når pakken er dekrypteret. At fjerne filteret for at få en test til at bestå gør en politikbeslutning til et uheld.

Hold de to registreringer adskilt i designdokumentet, fordi en læser, der kun ser selektoren, vil udlede en autorisation, der aldrig blev givet. To linjer i en ændringsregistrering forhindrer det og tager mindre tid end den diskussion, der følger.

Beskriv ét flow fra begge ender

Skriv initiativtageren, responderen, kilden og destinationen som præsenteret, protokollen og begge porte ned. Vend derefter hver af disse betegnelser om for den anden ende, fordi en klients efemere kildeport bliver svarets destinationsport, og det fjerne netværk bliver det lokale. En konfiguration, der kopieres fra den ene side til den anden uden den omvending, er hvordan filtre ender med at tillade præcis den forkerte retning. Skriv tabellen én gang, og byg begge filtre ud fra den.

Bliv enige om selektionsmodellen, før du kopierer noget, fordi et politikbaseret design og et rutebaseret design udtrykker den samme hensigt gennem forskellige objekter. Skriv modellens navn ved siden af flowet, ellers vil den næste ingeniør bruge en eftermiddag på at matche objekter, der aldrig var sammenlignelige.

Find det filter, der faktisk gælder

På en ASA er VPN-filteret en ACL knyttet til en gruppepolitik og anvendt på trafik efter dekryptering og før kryptering. Ciscos dokumentation for gruppepolitikker beskriver også nedarvning, inklusive en værdi på brugerniveau, der tilsidesætter gruppepolitikkens værdi. Så den ACL, du redigerede, er måske ikke den ACL, der styrer sessionen foran dig. Det samme gælder brugerobjektet, som kan tilsidesætte gruppen uden at efterlade meget synligt spor.

Undersøg den effektive session i stedet for det objekt, du husker at have ændret, og noter, hvilket politikobjekt der leverer den. Det ene skridt løser et overraskende antal rapporter af typen filteret er rigtigt, men det virker ikke.

Retning, porte og det omvendte tilfælde

Den dokumenterede konvention placerer det fjerne netværk, eller de tildelte fjernklientadresser, i kildeplaceringen og det lokale netværk i destinationsplaceringen, mens svar udtrykkes ved at bytte adresseplaceringerne. Portregler ligger oven på den konvention og fortjener mere omhu end adresserne.

Den dokumenterede model kan lade en destinationsportregel påvirke omvendt initiering, der bruger den samme kildeport, hvilket betyder, at filteret ikke blot er en ensrettet anmodningsregel med harmløse svar vedhæftet. Gennemtænk begge initieringsretninger eksplicit, og medtag det tilfælde, du agter at afvise.

Den samme dokumentation begrænser filteret til indledende forbindelser, så det er ikke universel håndhævelse af enhver sekundær kanal, en inspiceret applikation åbner. Hvor den fulde politik har brug for den dækning, hører den til ved en separat grænse i stedet for i en ACL, der strækkes ud over sit formål.

Test tre tilfælde, før du kalder det færdigt

Accepter det tilsigtede flow, afvis en tjeneste, som politikken forbyder, og øv det omvendte retningstilfælde, du har gennemtænkt. Kør dem under en godkendt plan med de samme identiteter og selektorer, som du vil udrulle. En test, der kun viser, at den tilladte tjeneste virker, demonstrerer tunnelen, ikke politikken.

Hold den forhandlede dækning og adgangsbeslutningen som to registreringer, fordi at forklare, hvad en VPN tillader, kræver begge.