Lai IPsec-selektor ei ole luba igale teenusele

Kaks poolt lepivad kokku kaitsta tervet alamvõrku ja keegi loeb seda kokkulepet loana pääseda igale teenusele selle sees. See on müüt: selektor ütleb, millist liiklust tunnel on valmis kandma, ja ei ütle midagi selle kohta, milliseid teenuseid organisatsioon lubab. Kaks seadet võivad seaduslikult kokku leppida laias aadressivahemikus, samal ajal kui selle sees olev juurdepääsupoliitika lubab kahte porti, ja mõlemad väited jäävad korraga tõeseks.

Kaitstud katvus ei ole volitus

Liiklusselektor on tunneli kokkuleppe osa. See kitsendab või kinnitab, mida pooled omavahel krüpteerivad, ja lai selektor on sageli kõige lihtsam hallata, kui mõlemal poolel on palju vooge. Teenusefilter on teine kontroll teises kohas teel ja see otsustab, mida tohib pärast paketi dekrüpteerimist tegelikult kasutada. Filtrite eemaldamine, et üks test läbi läheks, muudab poliitikaotsuse õnnetuseks.

Hoidke kaks kirjet projekteerimisdokumendis eraldi, sest lugeja, kes näeb ainult selektorit, järeldab volituse, mida kunagi ei antud. Kaks rida muudatuste kirjes hoiab selle ära ja võtab vähem aega kui järgnev vaidlus.

Kirjeldage ühte voogu mõlemast otsast

Kirjutage üles algataja, vastaja, allikas ja sihtkoht nii, nagu need esitatakse, protokoll ja mõlemad pordid. Seejärel pöörake igaüks neist siltidest teise otsa jaoks ümber, sest kliendi lühiajalisest lähipordist saab vastuse sihtport ja kaugvõrk muutub kohalikuks. Konfiguratsioon, mis kopeeritakse ühelt poolt teisele ilma selle ümberpööramiseta, on põhjus, miks filtrid lõpuks lubavad täpselt vale suunda. Kirjutage tabel üks kord ja ehitage sellest mõlemad filtrid.

Leppige valikumorfell kokku enne, kui midagi kopeerite, sest poliitikapõhine disain ja marsruudipõhine disain väljendavad sama kavatsust erinevate objektide kaudu. Kirjutage mudeli nimi voo kõrvale, muidu veedab järgmine insener pärastlõuna objektide sobitamisega, mis ei olnud kunagi võrreldavad.

Leidke filter, mis tegelikult kehtib

ASA-l on VPN-filter ACL, mis on seotud grupipoliitikaga ja mida rakendatakse liiklusele pärast dekrüpteerimist ja enne krüpteerimist. Cisco grupipoliitika dokumentatsioon kirjeldab ka pärimist, sealhulgas kasutajatasandi väärtust, mis asendab grupipoliitika väärtuse. Nii et ACL, mida muutsite, ei pruugi olla see ACL, mis juhib teie ees olevat seanssi. Sama kehtib kasutajaobjekti kohta, mis võib grupi üle kirjutada, jätmata palju nähtavat jälge.

Uurige tegelikku seanssi, mitte objekti, mille muutmise mäletate, ja märkige, milline poliitikaobjekt selle annab. See üks samm lahendab hämmastavalt palju aruandeid tüübis filter on õige, aga ei tööta.

Suund, pordid ja vastupidine juhtum

Dokumenteeritud konventsioon asetab kaugvõrgu või määratud kaugkliendi aadressid allika asendisse ja kohaliku võrgu sihtkoha asendisse, kusjuures vastused väljendatakse aadresside asendite vahetamisega. Pordireeglid istuvad selle konventsiooni peal ja väärivad rohkem hoolt kui aadressid.

Dokumenteeritud mudel võib lubada sihtpordi reeglil mõjutada vastupidist algatamist, mis kasutab sama lähiporti, mis tähendab, et filter ei ole lihtsalt ühesuunaline päringureegel kahjutute vastustega. Mõelge mõlemad algatamissuunad selgelt läbi ja kaasake juhtum, mille kavatsete keelduda.

Sama dokumentatsioon piirab filtri algsete ühendustega, nii et see ei ole universaalne jõustamine igale teisesele kanalile, mille uuritav rakendus avab. Kui tervikpoliitika vajab sellist katvust, kuulub see eraldi piirile, mitte ACL-i, mida venitatakse üle oma otstarbe.

Testige kolme juhtumit enne, kui nimetate selle valmis

Nõustuge kavandatud vooga, keelduge teenusest, mille poliitika keelab, ja harjutage vastupidist suunda, mille üle mõtlesite. Käivitage need kinnitatud plaani järgi samade identiteetide ja selektoritega, mille juurutate. Test, mis näitab ainult lubatud teenuse toimimist, tõestab tunnelit, mitte poliitikat.

Hoidke kokku lepitud katvus ja juurdepääsuotsus kahe kirjena, sest VPN-i lubade selgitamine nõuab mõlemat.