Τι να καταγράψετε για VPN από τοποθεσία σε τοποθεσία: επιλογείς και εύρος

Έξι μήνες αφότου ένα τούνελ τέθηκε σε λειτουργία, ένα νέο υποδίκτυο παύει να ταιριάζει με την πολιτική και το μόνο έγγραφο στον κοινόχρηστο χώρο λέει VPN γραφείου. Αυτή είναι η αποτυχία που αποτρέπει ένα αρχείο επιλογέων, και είναι συγκεκριμένη: ένα σύνολο διευθύνσεων άλλαξε ενώ τα χαρτιά δεν άλλαξαν. Το να γράψετε σωστά το αρχείο σημαίνει να ξέρετε ποιο από τα πολλά σύνολα διευθύνσεων περιγράφετε, και να καταγράψετε αυτό που επιβάλλει πραγματικά ο ομότιμος και όχι αυτό που διαμορφώσατε.

Το διαμορφωμένο δεν είναι διαπραγματευμένο

Σε ένα τούνελ IPsec βασισμένο σε πολιτική, κάθε πλευρά προτείνει επιλογείς κίνησης: εύρη πηγής και προορισμού για τη θυγατρική συσχέτιση. Η πλευρά που απαντά επιτρέπεται να περιορίσει αυτή την πρόταση , οπότε η εγκατεστημένη συσχέτιση μπορεί να καλύπτει λιγότερα από όσα απαριθμεί η διαμόρφωση. Ένα αρχείο που αντιγράφει τη διαμόρφωση περιγράφει επομένως μια πρόθεση, όχι το τρέχον εύρος προστασίας. Τα δύο αποκλίνουν ήσυχα, και τίποτα στη σελίδα κατάστασης του τούνελ δεν το επισημαίνει.

Κρατήστε και τις δύο στήλες, με την ημερομηνία που τις παρατηρήσατε. Ο διαμορφωμένος επιλογέας είναι αυτό που εννοούσατε· ο διαπραγματευμένος είναι αυτό που επιβάλλει ο πυρήνας αυτή τη στιγμή. Όταν διαφέρουν, αυτή η διαφορά εξηγεί μια απρόσμενη αποτυχία πολύ συχνότερα από ένα σφάλμα δρομολόγησης.

Μια συσχέτιση επίσης δεν αντιπροσωπεύει κάθε διαμορφωμένο ζεύγος. Ένα τούνελ με πολλούς συνδυασμούς επιλογέων μπορεί να καταλήξει με πολλές θυγατρικές συσχετίσεις, και ένα αρχείο που απαριθμεί μία από αυτές είναι μερική απογραφή. Απαριθμήστε τις αντί να τις συνοψίζετε.

Τα τούνελ βάσει διαδρομής επιλέγουν διαφορετικά

Με διεπαφή βασισμένη σε διαδρομή, ο πίνακας δρομολόγησης αποφασίζει τι μπαίνει στο τούνελ και οι επιλογείς μπορούν να είναι σκόπιμα ευρείς. Αυτός είναι νόμιμος σχεδιασμός και όχι αμέλεια, και το αρχείο πρέπει να το περιγράφει ως τέτοιο. Καταγράψτε τη διαδρομή, τη διεπαφή στην οποία δείχνει, και την πολιτική του τείχους προστασίας που περιορίζει ποιες υπηρεσίες είναι προσβάσιμες. Το εύρος προστασίας είναι ευρύ σκόπιμα, και το εύρος υπηρεσιών κάνει τον περιορισμό.

Η αντιγραφή ενός προτύπου βασισμένου σε πολιτική σε ένα τούνελ βάσει διαδρομής παράγει ένα έγγραφο που περιγράφει μηχανισμό που η ανάπτυξη δεν χρησιμοποιεί. Ο επόμενος μηχανικός ψάχνει τότε επιλογείς που δεν έπρεπε ποτέ να υπάρχουν εκεί, και καταλήγει ότι το τούνελ είναι κακώς διαμορφωμένο ενώ είναι απλώς κακώς τεκμηριωμένο.

Η μετάφραση ανήκει στον ίδιο πίνακα

Όταν το NAT παρουσιάζει διαφορετικό εύρος στον ομότιμο, καταγράψτε τα αρχικά και τα μεταφρασμένα προθέματα μαζί. Σημειώστε το στάδιο στο οποίο οι επιλογείς και οι κανόνες πρόσβασης τα αντιστοιχίζουν, γιατί η σειρά καθορίζει αν η απομακρυσμένη πλευρά θα δει ποτέ τη διεύθυνση που γράψατε. Ένας πίνακας με μόνο ένα από τα δύο εύρη είναι χειρότερος από καθόλου πίνακα, αφού φαίνεται πλήρης.

Αυτή είναι η λεπτομέρεια που σπάει ένα τούνελ που δουλεύει μετά από αλλαγή NAT: ο επιλογέας εξακολουθεί να ταιριάζει με το αρχικό πρόθεμα, ο ομότιμος λαμβάνει τώρα ένα μεταφρασμένο, και η διαδρομή επιστροφής του δείχνει σε διεύθυνση που δεν υπάρχει πια. Τίποτα δεν καταγράφει σφάλμα τη στιγμή που τα δύο παύουν να συμφωνούν.

Το ιδιωτικό DNS ανήκει στο ίδιο σημείο. Ένα όνομα που επιλύεται σε διεύθυνση άχρηστη από την εν λόγω τοποθεσία είναι σφάλμα τεκμηρίωσης με συνημμένο αίτημα υποστήριξης, και θα κατηγορηθεί το τούνελ.

Επισυνάψτε την απαίτηση υπηρεσίας

Ένα προστατευμένο εύρος δεν είναι λίστα αδειών. Καταγράψτε ποιες υπηρεσίες πρέπει να είναι προσβάσιμες από ποια πηγή, και ποιος κατέχει την εφαρμογή πίσω από αυτές. Αυτά τα δύο πεδία απαντούν σε διαφορετικές ερωτήσεις, και η σύγχυσή τους είναι ο τρόπος με τον οποίο μια επισκόπηση ασφαλείας καταλήγει να διαφωνεί για τη δρομολόγηση αντί για την πρόσβαση.

Στη συνέχεια ονομάστε τον διαχειριστή δικτύου που συντηρεί τον κανόνα. Μια απογραφή επιλογέων χωρίς ιδιοκτήτη παλιώνει ήσυχα, και το παλιό δεν ξεχωρίζει από το λάθος όταν το τούνελ σπάσει στις δύο το πρωί. Ο ιδιοκτήτης είναι και το άτομο που μπορεί να επιβεβαιώσει ότι μια αλλαγή ήταν σκόπιμη.

Μετατρέψτε το αρχείο σε σχέδιο δοκιμών

Για κάθε απαιτούμενη διαδρομή, επιλέξτε έναν αντιπροσωπευτικό κεντρικό υπολογιστή πηγής και προορισμού και σημειώστε την αναμενόμενη διαδρομή, την υπηρεσία και την πύλη απάντησης. Αυτό μετατρέπει το έγγραφο σε σχέδιο δοκιμών αντί για περιγραφή. Διαβάστε τη ζωντανή συσχέτιση με την εντολή παρακάτω, και συγκρίνετέ την με τη διαπραγματευμένη γραμμή που γράψατε.

swanctl --list-sas

Ένας σκελετός πέντε γραμμών αρκεί συνήθως για να μείνει το αρχείο έντιμο. Η παραλλαγή παρακάτω χωράει σε αίτημα αλλαγής χωρίς περικοπή:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ένα ping μόνο προς την πύλη δεν είναι η δοκιμή αποδοχής. Δεν ασκεί ποτέ τη διαδρομή διέλευσης, οπότε μπορεί να περάσει ενώ κάθε προωθούμενη ροή αποτυγχάνει. Δοκιμάστε από κεντρικό υπολογιστή στη μία πλευρά προς υπηρεσία στην άλλη και επιβεβαιώστε ότι η απάντηση φτάνει μέσω του τούνελ. Αν περνά μόνο το ping, το αρχείο μόλις βρήκε το πρόβλημα προώθησης που γράφτηκε για να αποτρέψει. τεκμηρίωση προώθησης του strongSwan εξηγεί πώς αλληλεπιδρούν επιλογείς, διαδρομές και προώθηση σε ομότιμο Linux.