Ένας ευρύς επιλογέας IPsec δεν είναι άδεια για κάθε υπηρεσία

Δύο ομότιμοι συμφωνούν να προστατεύουν ένα ολόκληρο υποδίκτυο και κάποιος διαβάζει αυτή τη συμφωνία ως άδεια πρόσβασης σε κάθε υπηρεσία μέσα του. Αυτός είναι ο μύθος: ο επιλογέας λέει ποια κίνηση είναι πρόθυμη να μεταφέρει η σήραγγα και δεν λέει τίποτα για τις υπηρεσίες που επιτρέπει ο οργανισμός. Ένα ζεύγος συσκευών μπορεί νόμιμα να διαπραγματευτεί ένα ευρύ εύρος διευθύνσεων, ενώ η πολιτική πρόσβασης μέσα του επιτρέπει δύο θύρες, και οι δύο δηλώσεις παραμένουν αληθείς ταυτόχρονα.

Η προστατευόμενη κάλυψη δεν είναι εξουσιοδότηση

Ένας επιλογέας κίνησης είναι μέρος της συμφωνίας της σήραγγας. Περιορίζει ή επιβεβαιώνει τι θα κρυπτογραφήσουν οι ομότιμοι μεταξύ τους, και ένας ευρύς επιλογέας είναι συχνά το απλούστερο πράγμα στη λειτουργία όταν οι δύο πλευρές έχουν πολλές ροές να μεταφέρουν. Το φίλτρο υπηρεσιών είναι άλλος ένας έλεγχος σε άλλο σημείο της διαδρομής και αποφασίζει τι επιτρέπεται να χρησιμοποιηθεί πραγματικά αφού αποκρυπτογραφηθεί το πακέτο. Η αφαίρεση του φίλτρου για να περάσει ένα τεστ μετατρέπει μια απόφαση πολιτικής σε ατύχημα.

Κρατήστε τις δύο εγγραφές χωριστά στο έγγραφο σχεδίασης, γιατί ένας αναγνώστης που βλέπει μόνο τον επιλογέα θα συμπεράνει εξουσιοδότηση που δεν δόθηκε ποτέ. Δύο γραμμές σε ένα αρχείο αλλαγών το αποτρέπουν και χρειάζονται λιγότερο χρόνο από τη συζήτηση που ακολουθεί.

Περιγράψτε μία ροή από τα δύο άκρα

Γράψτε τον εκκινητή, τον αποκρινόμενο, την πηγή και τον προορισμό όπως παρουσιάζονται, το πρωτόκολλο και τις δύο θύρες. Έπειτα αντιστρέψτε καθεμία από αυτές τις ετικέτες για το άλλο άκρο, γιατί η εφήμερη θύρα πηγής ενός πελάτη γίνεται θύρα προορισμού μιας απάντησης και το απομακρυσμένο δίκτυο γίνεται το τοπικό. Μια διαμόρφωση που αντιγράφεται από τη μία πλευρά στην άλλη χωρίς αυτή την αντιστροφή είναι ο τρόπος με τον οποίο τα φίλτρα καταλήγουν να επιτρέπουν ακριβώς τη λάθος κατεύθυνση. Γράψτε τον πίνακα μία φορά και χτίστε και τα δύο φίλτρα από αυτόν.

Συμφωνήστε το μοντέλο επιλογής πριν αντιγράψετε οτιδήποτε, γιατί ένα σχέδιο βασισμένο σε πολιτική και ένα σχέδιο βασισμένο σε διαδρομή εκφράζουν την ίδια πρόθεση μέσα από διαφορετικά αντικείμενα. Γράψτε το όνομα του μοντέλου δίπλα στη ροή, αλλιώς ο επόμενος μηχανικός θα περάσει ένα απόγευμα ταιριάζοντας αντικείμενα που ποτέ δεν ήταν συγκρίσιμα.

Βρείτε το φίλτρο που ισχύει πραγματικά

Σε ένα ASA, το φίλτρο VPN είναι μια ACL συνδεδεμένη με πολιτική ομάδας και εφαρμόζεται στην κίνηση μετά την αποκρυπτογράφηση και πριν την κρυπτογράφηση. Η τεκμηρίωση της Cisco για τις πολιτικές ομάδας περιγράφει επίσης κληρονομικότητα, συμπεριλαμβανομένης μιας τιμής σε επίπεδο χρήστη που υπερισχύει της τιμής της πολιτικής ομάδας. Άρα η ACL που επεξεργαστήκατε μπορεί να μην είναι η ACL που διέπει τη συνεδρία μπροστά σας. Το ίδιο ισχύει για το αντικείμενο χρήστη, το οποίο μπορεί να υπερισχύσει της ομάδας χωρίς να αφήσει πολλά ορατά ίχνη.

Εξετάστε την ενεργή συνεδρία αντί για το αντικείμενο που θυμάστε ότι αλλάξατε, και σημειώστε ποιο αντικείμενο πολιτικής την παρέχει. Αυτό το ένα βήμα λύνει εντυπωσιακά πολλές αναφορές του τύπου το φίλτρο είναι σωστό αλλά δεν λειτουργεί.

Κατεύθυνση, θύρες και η αντίστροφη περίπτωση

Η τεκμηριωμένη σύμβαση τοποθετεί το απομακρυσμένο δίκτυο, ή τις εκχωρημένες διευθύνσεις απομακρυσμένων πελατών, στη θέση πηγής και το τοπικό δίκτυο στη θέση προορισμού, με τις απαντήσεις να εκφράζονται με ανταλλαγή των θέσεων διευθύνσεων. Οι κανόνες θυρών κάθονται πάνω από αυτή τη σύμβαση και αξίζουν περισσότερη προσοχή από τις διευθύνσεις.

Το τεκμηριωμένο μοντέλο μπορεί να επιτρέψει σε έναν κανόνα θύρας προορισμού να επηρεάζει αντίστροφη εκκίνηση που χρησιμοποιεί την ίδια θύρα πηγής, που σημαίνει ότι το φίλτρο δεν είναι απλώς ένας μονόδρομος κανόνας αιτήματος με αβλαβείς απαντήσεις. Σκεφτείτε ρητά και τις δύο κατευθύνσεις εκκίνησης και συμπεριλάβετε την περίπτωση που σκοπεύετε να απορρίψετε.

Η ίδια τεκμηρίωση περιορίζει το φίλτρο στις αρχικές συνδέσεις, άρα δεν είναι καθολική επιβολή κάθε δευτερεύοντος καναλιού που ανοίγει μια εφαρμογή υπό επιθεώρηση. Όπου η πλήρης πολιτική χρειάζεται αυτή την κάλυψη, ανήκει σε ξεχωριστό όριο και όχι σε μια ACL που τεντώνεται πέρα από τον σκοπό της.

Δοκιμάστε τρεις περιπτώσεις πριν το θεωρήσετε έτοιμο

Αποδεχτείτε την επιδιωκόμενη ροή, απορρίψτε μια υπηρεσία που η πολιτική απαγορεύει και ασκηθείτε στην αντίστροφη περίπτωση που σκεφτήκατε. Εκτελέστε τις υπό εγκεκριμένο σχέδιο με τις ίδιες ταυτότητες και επιλογείς που θα αναπτύξετε. Ένα τεστ που δείχνει μόνο ότι λειτουργεί η επιτρεπόμενη υπηρεσία αποδεικνύει τη σήραγγα, όχι την πολιτική.

Κρατήστε τη διαπραγματευμένη κάλυψη και την απόφαση πρόσβασης ως δύο εγγραφές, γιατί η εξήγηση του τι επιτρέπει ένα VPN απαιτεί και τις δύο.