Μπορεί μία διεπαφή WAN να εξυπηρετεί VPN τοποθεσίας-σε-τοποθεσία και απομακρυσμένης πρόσβασης;

Μία δημόσια διεύθυνση μπορεί να εξυπηρετεί ταυτόχρονα σήραγγα υποκαταστήματος και δεξαμενή χρηστών σε περιαγωγή. Δεν μπορεί όμως να εξυπηρετεί έναν κοινό κανόνα εισδοχής. Ο ομότιμος του υποκαταστήματος και ο χρήστης σε περιαγωγή διαφέρουν ως προς το ποιοι δηλώνουν ότι είναι, πώς ελέγχεται αυτή η απόδειξη, ποιες διευθύνσεις λαμβάνουν και ποια προθέματα επιτρέπεται να τους απαντούν. Μόλις αντιμετωπίσετε την εξωτερική διεύθυνση ως λεπτομέρεια μεταφοράς και όχι ως ταυτότητα, η σχεδίαση γίνεται πολύ απλούστερη.

Ένα γρήγορο τεστ ευλογοφάνειας: προσπαθήστε να γράψετε και τις δύο εγγραφές εισδοχής πριν αγγίξετε τον δρομολογητή. Αν μία μόνο συνθήκη αντιστοίχισης πρέπει να καλύπτει και τις δύο, η πολιτική είναι ήδη ασαφής, και το πρώτο σύμπτωμα θα μοιάζει με βλάβη δρομολόγησης ή τείχους προστασίας, ενώ στην πραγματικότητα είναι βλάβη ταυτότητας.

Δύο εγγραφές πριν από οποιαδήποτε ρύθμιση

Η εγγραφή του υποκαταστήματος είναι σύντομη και σταθερή. Αναφέρει τη διεύθυνση του ομοτίμου ή το όνομα του πιστοποιητικού, το προκοινόμενο κλειδί ή το σημείο εμπιστοσύνης του πιστοποιητικού, τα προστατευμένα υποδίκτυα και στις δύο πλευρές, τη διεπαφή της σήραγγας και τη στατική διαδρομή που στέλνει την κίνηση προς το υποκατάστημα μέσα σε αυτή τη σήραγγα. Κάθε πεδίο αφορά έναν γνωστό ομότιμο και ένα σταθερό σύνολο προθεμάτων.

Η εγγραφή της περιαγωγής είναι ευρύτερη και πιο προσωπική. Αναφέρει το πρωτόκολλο και τη θύρα του πελάτη, πώς αυθεντικοποιείται ένας χρήστης ή μια συσκευή, τη δεξαμενή διευθύνσεων που αποδίδεται κατά τη σύνδεση, τους πόρους που επιτρέπεται να προσεγγίζει αυτή η δεξαμενή, τα προθέματα της διαχωρισμένης σήραγγας, τους διακομιστές DNS που σπρώχνονται στον πελάτη και οποιονδήποτε δεύτερο παράγοντα. Κάθε πεδίο απαντά σε ερώτηση για άγνωστο πλήθος χρηστών και όχι για μία πύλη.

Αυτή η διαφορά στην ανάλυση είναι ο λόγος που οι δύο ρόλοι αποκλίνουν. Ένα προφίλ υποκαταστήματος μπορεί να εμπιστεύεται με ασφάλεια ένα κλειδί, γιατί το κλειδί ανήκει σε μία συσκευή σε μία τοποθεσία. Ένα προφίλ περιαγωγής που εμπιστεύεται ένα ομαδικό κλειδί για όλους καταρρέει τη λογοδοσία ανά χρήστη, κάτι που συνήθως ανακαλύπτεται αργότερα, στην ανασκόπηση περιστατικού και όχι στην ανάπτυξη.

Πού αποκλίνουν η αντιστοίχιση ομοτίμων και η αυθεντικοποίηση

Στο IOS XE το προφίλ IKEv2 φέρει τις παραμέτρους που δεν μπορούν να διαπραγματευτούν και τις συνθήκες με τις οποίες επιλέγεται ο ομότιμος. Αυτό σημαίνει ότι η πλευρά του υποκαταστήματος και η πλευρά της περιαγωγής χρειάζονται η καθεμία το δικό της προφίλ, ακόμη και όταν τερματίζουν στην ίδια διεπαφή και ακόμη και όταν μοιράζονται μία κρυπτογραφική PKI. Η Cisco περιγράφει τους ρόλους του προφίλ, της αυθεντικοποίησης και της αντιστοίχισης στον οδηγό ρύθμισης του IKEv2 για IOS XE 17.

Το προφίλ του υποκαταστήματος συνήθως αντιστοιχίζει μια στενή ταυτότητα: μια απομακρυσμένη διεύθυνση, ένα FQDN ή ένα υποκείμενο πιστοποιητικού. Κάτι σαν το match identity remote address 198.51.100.10 255.255.255.255 καρφιτσώνει έναν ομότιμο, και το authentication remote pre-share με κλειδί αποθηκευμένο ανά τοποθεσία αρκεί. Κρατήστε την αντιστοίχιση τόσο συγκεκριμένη όσο επιτρέπει το απόθεμα ομοτίμων, γιατί ένα επικαλυπτόμενο μπαλαντέρ ψηλότερα στη σειρά επιλογής μπορεί να τραβήξει την κίνηση του υποκαταστήματος στο λάθος προφίλ.

Το προφίλ περιαγωγής δεν μπορεί να καρφιτσώσει διεύθυνση, οπότε αντιστοιχίζει ομάδα, key-id ή πεδίο πιστοποιητικού και μετά παραδίδει τον πραγματικό έλεγχο χρήστη στο AAA ή στην πολιτική εξουσιοδότησης που κρέμεται από το προφίλ. Αυτός ο διαχωρισμός μετράει: η αυθεντικοποίηση ομοτίμου απαντά αν επιτρέπεται στον πελάτη να χτίσει σήραγγα, και η εξουσιοδότηση ανά χρήστη απαντά ποια δεξαμενή και ποιους πόρους παίρνει. Το κλειδί του υποκαταστήματος ως καθολική σύνδεση πετάει τη δεύτερη απάντηση.

Η προώθηση και η μετάφραση χρειάζονται τον ίδιο διαχωρισμό

Η εισδοχή και η προσβασιμότητα είναι ξεχωριστά προβλήματα. Μια επιτυχής ανταλλαγή IKE και IPsec αποδεικνύει ότι οι πλευρές συμφωνούν στα κλειδιά· δεν δημιουργεί διαδρομή προς τη δεξαμενή που πήρε ο πελάτης. Οι δεξαμενές απομακρυσμένης πρόσβασης χρειάζονται επομένως διαδρομή επιστροφής, είτε στατική διαδρομή προς τη διεπαφή της σήραγγας είτε πρωτόκολλο δρομολόγησης που εγχέει τη σύνοψη της δεξαμενής. Τα προθέματα του υποκαταστήματος φτάνουν συνήθως από την ίδια διαδικασία δρομολόγησης που εξυπηρετεί το υπόλοιπο της τοποθεσίας.

Η μετάφραση είναι το σημείο όπου οι δύο ρόλοι συγκρούονται συχνότερα. Η κίνηση μεταξύ τοποθεσιών που πρέπει να κρατήσει τις ιδιωτικές της διευθύνσεις χρειάζεται εξαίρεση NAT περιορισμένη σε αυτά τα δύο προθέματα, και προς τις δύο κατευθύνσεις. Οι πελάτες περιαγωγής χρειάζονται συνήθως εξαίρεση και για την κίνησή τους μέσα στη σήραγγα, αλλά η κίνησή τους προς το διαδίκτυο είτε παρακάμπτει τη σήραγγα με διαχωρισμένη σήραγγα είτε βγαίνει στον κόμβο μετά το NAT. Η εξαίρεση όλων όσων έρχονται από σήραγγα είναι το κλασικό λάθος, γιατί αφαιρεί τη μετάφραση και από κίνηση που πραγματικά τη χρειάζεται.

Κρατήστε τους κανόνες εξαίρεσης τόσο στενούς όσο οι κανόνες εισδοχής. Αν μια σύνοψη δεξαμενής και ένα πρόθεμα υποκαταστήματος επικαλύπτονται, η διαδρομή επιστροφής γίνεται ασαφής πολύ πριν απορριφθεί οποιοδήποτε πακέτο, και το σύμπτωμα εμφανίζεται ως τοποθεσία που χάνει κατά διαστήματα ένα υποδίκτυο και όχι ως καθαρή αποτυχία σήραγγας.

Περιπτώσεις αποδοχής που αποκαλύπτουν διασταυρωμένη πολιτική

Χτίστε τέσσερις περιπτώσεις και εκτελέστε τις με σειρά. Ένας υπολογιστής στο υποκατάστημα φτάνει σε πόρο μόνο του υποκαταστήματος. Ένας πελάτης περιαγωγής φτάνει στον ίδιο πόρο μέσω της διεύθυνσης της δεξαμενής του. Ένας πελάτης περιαγωγής δοκιμάζει πρόθεμα του υποκαταστήματος που δεν πρέπει να αγγίξει. Ένας ομότιμος του υποκαταστήματος προσπαθεί να πάρει διεύθυνση από τη δεξαμενή απομακρυσμένης πρόσβασης. Οι δύο τελευταίες είναι αυτές που πιάνουν ένα κοινό προφίλ, γιατί αποτυγχάνουν σιωπηλά στην κανονική παρακολούθηση.

Έπειτα επιβεβαιώστε το επίπεδο δεδομένων και όχι τη ρύθμιση. show crypto ikev2 sa και show crypto ipsec sa λένε ποιο προφίλ και ποιοι επιλογείς μετέφεραν κάθε ροή, ενώ show ip nat translations και οι μετρητές της σήραγγας δείχνουν αν η διαδρομή επιστροφής και η εξαίρεση ταίριαξαν πράγματι. Ένα ίχνος ή σύλληψη πακέτων στη διεπαφή της σήραγγας κλείνει τον κύκλο.

Γράψτε την ταυτότητα που παρατηρήθηκε, τη διεύθυνση της δεξαμενής και την επιλεγμένη πολιτική δίπλα σε κάθε αποτέλεσμα. Η εκτέλεση τελειώνει όταν κάθε περίπτωση αντιστοιχεί σε ακριβώς μία εγγραφή και καμία περίπτωση δεν χρειάζεται προσωρινή εξαίρεση για να περάσει.