Kas üks WAN-liides saab teenindada nii saidi-saidi kui ka kaug-VPN-i?

Üks avalik aadress saab korraga teenindada harutunnelit ja rändavate kasutajate basseini. Kuid see ei saa teenindada üht ühist lubamisreeglit. Haru partner ja rändav kasutaja erinevad selle poolest, kes nad enda sõnul on, kuidas seda tõestust kontrollitakse, milliseid aadresse nad saavad ja millised prefiksid tohivad neile vastata. Kui hakkate välist aadressi käsitlema transpordi detailina, mitte identiteedina, muutub disain palju lihtsamaks.

Kiire mõistlikkuse test: proovige kirjutada mõlemad lubamiskirjed enne, kui ruuterit puudutate. Kui üks sobitamistingimus peab katma mõlemat, on poliitika juba mitmetähenduslik ja esimene sümptom näeb välja nagu marsruutimis- või tulemüüri viga, kuigi tegelikult on tegu identiteediveaga.

Kaks kirjet enne igasugust seadistust

Haru kirje on lühike ja püsiv. See loetleb partneri aadressi või sertifikaadi nime, eeljagatud võtme või sertifikaadi usalduspunkti, mõlemal pool kaitstud alavõrgud, tunneli liidese ja staatilise marsruudi, mis saadab harule suunatud liikluse sellesse tunnelisse. Iga väli puudutab üht teadaolevat partnerit ja kindlat prefiksite kogumit.

Rände kirje on laiem ja isiklikum. See loetleb kliendi protokolli ja pordi, kuidas kasutaja või seade autenditakse, ühendamisel välja antava aadressibasseini, ressursid, millele see bassein pääseb, poolitatud tunneli prefiksid, kliendile saadetavad DNS-serverid ja võimaliku teise faktori. Iga väli vastab küsimusele tundmatu arvu kasutajate kohta, mitte ühe lüüsi kohta.

See detailsuse erinevus on kogu põhjus, miks kaks rolli lahku lähevad. Haru profiil võib ühte võtit kindlalt usaldada, sest võti kuulub ühele seadmele ühes kohas. Rände profiil, mis usaldab kõigi jaoks üht grupivõtit, lammutab kasutajapõhise vastutuse, mis tavaliselt avastatakse hiljem, juhtumi ülevaatamisel, mitte kasutuselevõtul.

Kus lahku lähevad partneri sobitamine ja autentimine

IOS XE-l kannab IKEv2 profiil parameetreid, mille üle ei saa läbi rääkida, ja tingimusi, millega partner valitakse. See tähendab, et haru pool ja rände pool vajavad kumbki oma profiili, isegi kui need lõpevad samal liidesel ja isegi kui need jagavad üht krüptograafilist PKI-d. Cisco kirjeldab profiili, autentimise ja sobitamise rolle oma IKEv2 seadistusjuhendis IOS XE 17 jaoks.

Haru profiil sobitub tavaliselt kitsa identiteediga: kaugema aadressi, FQDN-i või sertifikaadi subjektiga. Midagi sellist nagu match identity remote address 198.51.100.10 255.255.255.255 kinnitab ühe partneri ja authentication remote pre-share saidi kohta hoitava võtmega on piisav. Hoidke sobitamine nii täpne, kui partnerite loend lubab, sest valiku järjekorras kõrgemal olev kattuv metamärk võib tõmmata haru liikluse valesse profiili.

Rände profiil ei saa aadressi kinnitada, seega sobitub see grupiga, key-id-ga või sertifikaadi väljaga ning annab seejärel tegeliku kasutajakontrolli AAA-le või profiili külge kinnitatud volituspoliitikale. See eraldus loeb: partneri autentimine vastab, kas kliendil on lubatud tunnel ehitada, ja kasutajapõhine volitamine vastab, millise basseini ja millised ressursid ta saab. Haru võtme kasutamine universaalse sisselogimisena viskab teise vastuse minema.

Edastamine ja tõlkimine vajavad sama eraldust

Lubamine ja kättesaadavus on eraldi probleemid. Õnnestunud IKE ja IPsec vahetus tõestab, et pooled nõustuvad võtmetes; see ei loo marsruuti basseini, mille klient sai. Seetõttu vajavad kaugjuurdepääsu basseinid tagasiteed, olgu see staatiline marsruut tunneli liidesele või marsruutimisprotokoll, mis basseini kokkuvõtte sisse süstib. Haru prefiksid tulevad tavaliselt sama marsruutimisprotsessi kaudu, mis teenindab ülejäänud kohta.

Tõlkimine on koht, kus kaks rolli kõige sagedamini põrkuvad. Saitidevaheline liiklus, mis peab säilitama oma privaataadressid, vajab NAT-erandit, mis on piiratud nende kahe prefiksiga, mõlemas suunas. Rändavad kliendid vajavad tavaliselt erandit ka tunnelis liikuva liikluse jaoks, kuid nende internetti suunduv liiklus kas mööda tunnelit poolitatud tunneliga või väljub jaoturis pärast NAT-i. Kõige erandiks tegemine, mis tunnelist tuleb, on klassikaline viga, sest see võtab tõlkimise ka liikluselt, mis seda tõesti vajab.

Hoidke erandireeglid sama kitsad kui lubamisreeglid. Kui basseini kokkuvõte ja haru prefiks kattuvad, muutub tagasitee mitmetähenduslikuks ammu enne, kui ükski pakett maha visatakse, ja sümptom ilmub kohana, mis aeg-ajalt kaotab alavõrgu, mitte puhta tunneliveana.

Vastuvõtujuhtumid, mis paljastavad ristatud poliitika

Ehitage neli juhtumit ja käivitage need järjekorras. Haru host pääseb ressursile, mis on ainult harule. Rändav klient pääseb samale ressursile oma basseini aadressi kaudu. Rändav klient proovib haru prefiksi, mida ta ei tohi puutuda. Haru partner proovib saada aadressi kaugjuurdepääsu basseinist. Viimased kaks on need, mis püüavad kinni jagatud profiili, sest need ebaõnnestuvad tavamonitooringus vaikselt.

Seejärel kinnitage andmetasand, mitte seadistus. show crypto ikev2 sa ja show crypto ipsec sa ütlevad, milline profiil ja millised selektorid kandsid iga voogu, samas show ip nat translations ja tunneli loendurid näitavad, kas tagasitee ja erand tegelikult klappisid. Tracer või paketipüük tunneli liidesel sulgeb ahela.

Kirjutage vaadeldud identiteet, basseini aadress ja valitud poliitika iga tulemuse kõrvale. Jooks on lõpetatud, kui iga juhtum vastab täpselt ühele kirjele ja ükski juhtum ei vaja läbimiseks ajutist erandit.