Vasta IPsec-elektilo ne estas permeso por ĉiu servo

Du samtavolanoj interkonsentas protekti tutan subreton, kaj iu legas tiun interkonsenton kiel permeson atingi ĉiun servon ene de ĝi. Tio estas la mito: la elektilo diras, kiun trafikon la tunelo pretas porti, kaj ĝi diras nenion pri tio, kiujn servojn la organizo permesas. Du aparatoj povas laŭleĝe trakti vastan adresaron, dum la alirpolitiko ene permesas du pordojn, kaj ambaŭ asertoj restas veraj samtempe.

Protektita kovrado ne estas rajtigo

Trafika elektilo estas parto de la tunela interkonsento. Ĝi mallarĝigas aŭ konfirmas, kion la samtavolanoj ĉifros inter si, kaj vasta elektilo ofte estas la plej simpla afero por funkciigi, kiam ambaŭ flankoj havas multajn fluojn por porti. La serva filtrilo estas alia regilo en alia punkto de la vojo, kaj ĝi decidas, kio efektive rajtas esti uzata post kiam la pakaĵo estas malĉifrita. Forigi la filtrilon por ke unu testo sukcesu ŝanĝas politikan decidon en akcidenton.

Tenu la du rikordojn aparte en la projektodokumento, ĉar leganto, kiu vidas nur la elektilon, konkludos rajtigon, kiu neniam estis donita. Du linioj en ŝanĝrikordo tion malhelpas, kaj ili postulas malpli da tempo ol la diskuto, kiu sekvas.

Priskribu unu fluon el ambaŭ finoj

Skribu la inicianton, la respondanton, la fonton kaj celon tiaj, kiaj ili prezentiĝas, la protokolon kaj ambaŭ pordojn. Poste inversigu ĉiun el tiuj etikedoj por la alia finpunkto, ĉar la efemera fonta pordo de kliento fariĝas la cela pordo de respondo kaj la fora reto fariĝas la loka. Konfiguracio kopiita de unu flanko al la alia sen tiu inversigo estas kiel filtriloj finas permesi ĝuste la malĝustan direkton. Skribu la tabelon unufoje kaj konstruu ambaŭ filtrilojn el ĝi.

Interkonsentu la elekto-modelon antaŭ ol kopii ion ajn, ĉar politiko-bazita dezajno kaj itinero-bazita dezajno esprimas la saman intencon per malsamaj objektoj. Skribu la nomon de la modelo apud la fluo, alie la sekva inĝeniero pasigos posttagmezon kunigante objektojn, kiuj neniam estis kompareblaj.

Trovu la filtrilon, kiu efektive validas

En ASA, la VPN-filtrilo estas ACL ligita al grupa politiko kaj aplikata al trafiko post malĉifro kaj antaŭ ĉifro. La dokumentaro de Cisco pri grupaj politikoj ankaŭ priskribas heredadon, inkluzive valoron je uzanta nivelo, kiu anstataŭas la valoron de la grupa politiko. Do la ACL, kiun vi redaktis, eble ne estas la ACL, kiu regas la sesion antaŭ vi. La samo validas por la uzanta objekto, kiu povas superregi la grupon sen lasi multe da videbla spuro.

Inspektu la efektivan sesion anstataŭ la objekton, kiun vi memoras ŝanĝinta, kaj notu, kiu politika objekto provizas ĝin. Tiu unu paŝo solvas surprize multajn raportojn de la speco la filtrilo estas ĝusta sed ĝi ne funkcias.

Direkto, pordoj kaj la inversa kazo

La dokumentita konvencio metas la foran reton, aŭ la asignitajn adresojn de foraj klientoj, en la fontan pozicion kaj la lokan reton en la celan pozicion, dum respondoj esprimiĝas per interŝanĝo de la adrespozicioj. Pordaj reguloj sidas super tiu konvencio kaj meritas pli da zorgo ol la adresoj.

La dokumentita modelo povas lasi celan pordan regulon influi inversan iniciadon, kiu uzas tiun saman fontan pordon, kio signifas, ke la filtrilo ne estas simple unudirekta petregulo kun sendanĝeraj respondoj aldonitaj. Pripensu eksplicite ambaŭ iniciad-direktojn, kaj inkluzivu la kazon, kiun vi intencas rifuzi.

La sama dokumentaro limigas la filtrilon al komencaj konektoj, do ĝi ne estas universala plenumado de ĉiu flanka kanalo, kiun malfermas inspektata aplikaĵo. Kie la kompleta politiko bezonas tiun kovradon, ĝi apartenas al aparta limo anstataŭ al ACL etendata preter sia celo.

Testu tri kazojn antaŭ ol nomi ĝin preta

Akceptu la intencitan fluon, rifuzu servon, kiun la politiko malpermesas, kaj ekzercu la inversan kazon, pri kiu vi rezonis. Rulu ilin laŭ aprobita plano kun la samaj identecoj kaj elektiloj, kiujn vi lanĉos. Testo, kiu nur montras, ke la permesita servo funkcias, pruvas la tunelon, ne la politikon.

Tenu la traktitan kovradon kaj la alirdecidon kiel du rikordojn, ĉar klarigi, kion VPN permesas, postulas ambaŭ.