Kion registri por VPN de loko al loko: selektiloj kaj amplekso

Ses monatojn poste ol tunelo ekfunkciis, nova subreto ĉesas kongrui kun la politiko, kaj la sola dokumento en la kunhavigita dosierujo diras oficeja VPN. Tio estas la fiasko, kiun selektila registro malhelpas, kaj ĝi estas specifa: aro de adresoj ŝanĝiĝis dum la paperoj ne. Skribi la registron ĝuste signifas scii, kiun el pluraj adresaroj vi priskribas, kaj registri tiun, kiun la alia flanko efektive devigas, anstataŭ tiun, kiun vi agordis.

Agordita ne estas negocita

En IPsec-tunelo bazita sur politiko, ĉiu flanko proponas trafikajn selektilojn: fontaj kaj celaj intervaloj por la ida asocio. La responda flanko rajtas mallarĝigi tiun proponon , do la instalita asocio povas kovri malpli ol la agordo listigas. Registro, kiu kopias la agordon, do priskribas intencon, ne la nunan protektan amplekson. La du diverĝas silente, kaj nenio sur la statopaĝo de la tunelo tion montras.

Konservu ambaŭ kolumnojn, kun la dato, kiam vi observis ilin. La agordita selektilo estas tio, kion vi celis; la negocita estas tio, kion la kerno nun devigas. Kiam ili diferencas, tiu diferenco klarigas surprizan fiaskon multe pli ofte ol vojiga cimo.

Unu asocio ankaŭ ne reprezentas ĉiun agorditan paron. Tunelo kun pluraj selektilaj kombinaĵoj povas finiĝi kun pluraj idaj asocioj, kaj registro, kiu listigas unu el ili, estas parta inventaro. Listigu ilin anstataŭ resumi ilin.

Vojbazitaj tuneloj elektas alimaniere

Ĉe voj-bazita interfaco, la vojiga tabelo decidas, kio eniras la tunelon kaj la selektiloj povas esti intence larĝaj. Tio estas legitima dezajno, ne malzorgemo, kaj la registro devas priskribi ĝin tiel. Skribu la vojon, la interfacon al kiu ĝi montras, kaj la fajroŝirman politikon, kiu limigas, kiuj servoj atingeblas. La protekta amplekso estas intence larĝa, kaj la serva amplekso faras la mallarĝigon.

Kopiado de politiko-bazita ŝablono al voj-bazita tunelo produktas dokumenton, kiu priskribas mekanismon, kiun la enkonduko ne uzas. La sekva inĝeniero tiam serĉas selektilojn, kiuj neniam devintus esti tie, kaj konkludas, ke la tunelo estas misagordita, kiam ĝi nur estas malbone dokumentita.

Traduko apartenas al la sama tabelo

Kiam NAT prezentas alian intervalon al la alia flanko, registru la originajn kaj tradukitajn prefiksojn kune. Notu la stadion, en kiu selektiloj kaj alirreguloj kongruigas ilin, ĉar la ordo decidas, ĉu la malproksima flanko iam vidos la adreson, kiun vi skribis. Tabelo kun nur unu el la du intervaloj estas pli malbona ol neniu tabelo, ĉar ĝi aspektas kompleta.

Tio estas la detalo, kiu rompas funkciantan tunelon post NAT-ŝanĝo: la selektilo ankoraŭ kongruas kun la originala prefikso, la alia flanko nun ricevas tradukitan, kaj ĝia revena vojo montras al adreso, kiu ne plu ekzistas. Nenio protokolas eraron en la momento, kiam la du ĉesas interkonsenti.

Privata DNS apartenas al la sama loko. Nomo, kiu solviĝas al adreso neuzebla de la koncerna loko, estas dokumenta eraro kun alkroĉita subtena bileto, kaj oni kulpigos la tunelon.

Aldonu la servan postulon

Protektita intervalo ne estas permesa listo. Skribu, kiuj servoj devas esti atingeblaj de kiu fonto, kaj kiu posedas la aplikaĵon malantaŭ ili. Tiuj du kampoj respondas al malsamaj demandoj, kaj miksado de ili estas kiel sekureca revizio finiĝas per disputo pri vojigado anstataŭ pri aliro.

Poste nomu la retan administranton, kiu prizorgas la regulon. Selektila inventaro sen posedanto malnoviĝas silente, kaj malnova ne distingiĝas de malĝusta, kiam la tunelo rompiĝas je la dua matene. La posedanto ankaŭ estas la persono, kiu povas konfirmi, ke ŝanĝo estis intenca.

Turnu la registron en testplanon

Por ĉiu bezonata vojo, elektu reprezentan fontan kaj celan gastiganton kaj notu la atendatan vojon, servon kaj respondan enirejon. Tio turnas la dokumenton en testplanon anstataŭ priskribon. Legu la vivan asocion per la komando sube, kaj komparu ĝin kun la negocita vico, kiun vi skribis.

swanctl --list-sas

Skeleto de kvin linioj kutime sufiĉas por teni la registron honesta. La versio sube taŭgas en ŝanĝbileto sen tranĉo:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping nur al la enirejo ne estas la akcepta testo. Ĝi neniam ekzercas la transitan vojon, do ĝi povas sukcesi dum ĉiu plusendita fluo malsukcesas. Testu de gastiganto unuflanke al servo aliflanke kaj konfirmu, ke la respondo alvenas tra la tunelo. Se nur la ping sukcesas, la registro ĵus trovis la plusendan problemon, kiun ĝi estis skribita por malhelpi. dokumentaro de strongSwan pri plusendado klarigas, kiel selektiloj, vojoj kaj plusendado interagas ĉe Linux-gastiganto.