Mida saidi ja saidi vahelise VPN-i kohta kirja panna: selektorid ja ulatus

Kuus kuud pärast tunnelitöö algust lakkab uus alamvõrk poliitikaga sobimast ja ainus dokument jagatud kettal ütleb kontori VPN. See on tõrge, mida selektorikirje ära hoiab, ja see on konkreetne: aadresside hulk muutus, samal ajal kui paberid ei muutunud. Kirje õigesti kirjutamine tähendab teada, millist mitmest aadressihulgast te kirjeldate, ja märkida see, mida vastaspool tegelikult rakendab, mitte see, mille te konfigureerisite.

Konfigureeritud ei ole kokku lepitud

Poliitikal põhinevas IPsec-tunnelis pakub kumbki pool välja liiklusselektorid: alluvassotsiatsiooni lähte- ja sihtvahemikud. Vastav pool tohib seda ettepanekut kitsendada , seega võib paigaldatud assotsiatsioon katta vähem, kui konfiguratsioon loetleb. Konfiguratsiooni kopeeriv kirje kirjeldab seega kavatsust, mitte praegust kaitseulatust. Need kaks lahknevad vaikselt ja miski tunnelistaatuse lehel ei osuta sellele.

Hoidke mõlemat veergu koos kuupäevaga, millal neid vaatlesite. Konfigureeritud selektor on see, mida te mõtlesite; kokku lepitud on see, mida tuum praegu rakendab. Kui need erinevad, selgitab see erinevus üllatavat tõrget palju sagedamini kui marsruutimisviga.

Üks assotsiatsioon ei esinda ka kõiki konfigureeritud paare. Mitme selektori kombinatsiooniga tunnel võib lõppeda mitme alluvassotsiatsiooniga ja kirje, mis loetleb neist ühe, on osaline loend. Loetlege need, mitte ärge võtke neid kokku.

Marsruudipõhised tunnelid valivad teisiti

Marsruudipõhise liidese puhul otsustab marsruutimistabel, mis tunnelisse siseneb, ja selektorid võivad olla meelega laiad. See on seaduslik lahendus, mitte lohakus, ja kirje peab seda nii kirjeldama. Kirjutage üles marsruut, liides, millele see osutab, ja tulemüürireegel, mis piirab, millised teenused on kättesaadavad. Kaitseulatus on meelega lai ja kitsendamise teeb teenuseulatus.

Poliitikal põhineva malli kopeerimine marsruudipõhisele tunnelile annab dokumendi, mis kirjeldab mehhanismi, mida juurutus ei kasuta. Järgmine insener otsib siis selektoreid, mida seal kunagi olemagi ei pidanud, ja järeldab, et tunnel on valesti konfigureeritud, kuigi see on vaid halvasti dokumenteeritud.

Tõlge kuulub samasse tabelisse

Kui NAT esitab vastaspoolele teistsuguse vahemiku, märkige algupärased ja tõlgitud prefiksid koos. Märkige etapp, kus selektorid ja juurdepääsureeglid neid sobitavad, sest järjekord otsustab, kas kaugpool näeb kunagi aadressi, mille te üles kirjutasite. Tabel, milles on ainult üks kahest vahemikust, on halvem kui tabeli puudumine, sest see näib täielik.

See on detail, mis pärast NAT-i muudatust katki teeb töötava tunneli: selektor sobib endiselt algupärase prefiksiga, vastaspool saab nüüd tõlgitud prefiksi ja selle tagasitee osutab aadressile, mida enam ei ole. Miski ei logi viga hetkel, mil need kaks lakkavad kokku sobimast.

Privaatne DNS kuulub samasse kohta. Nimi, mis lahendub aadressiks, mida asjaomasest saidist kasutada ei saa, on dokumenteerimisviga, millele on lisatud tugipilet, ja selles süüdistatakse tunnelit.

Lisage teenusenõue

Kaitstud vahemik ei ole lubade loend. Kirjutage üles, millised teenused peaksid olema kättesaadavad millisest allikast, ja kes omab nende taga olevat rakendust. Need kaks välja vastavad erinevatele küsimustele ja nende segamine on viis, kuidas turbekontroll jõuab lõpuks vaidluseni marsruutimise, mitte juurdepääsu üle.

Seejärel nimetage võrguadministraator, kes reeglit haldab. Omanikuta selektoriloend vananeb vaikselt ja vananenud ei erine valest, kui tunnel läheb öösel kell kaks katki. Omanik on ka inimene, kes saab kinnitada, et muudatus oli meelega.

Muutke kirje testiplaaniks

Iga vajaliku tee jaoks valige esinduslik lähte- ja sihtkostja ning märkige oodatav marsruut, teenus ja vastuse värav. See muudab dokumendi kirjelduse asemel testiplaaniks. Lugege elav assotsiatsioon alloleva käsuga ja võrrelge seda kokku lepitud reaga, mille üles kirjutasite.

swanctl --list-sas

Viie rea skelett on tavaliselt piisav, et hoida kirje aus. Allolev versioon mahub muudatuse piletile ilma kärpimata:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ainult väravale pingutamine ei ole vastuvõtutest. See ei harjuta kunagi läbimarsruuti, seega võib see läbida, samal ajal kui iga edastatud voog ebaõnnestub. Testige ühel poolt olevast kostjast teisel poolt olevasse teenusesse ja kinnitage, et vastus saabub läbi tunneli. Kui läbib ainult ping, on kirje just leidnud edastusprobleemi, mille vältimiseks see kirjutati. strongSwan-i edastamise dokumentatsioon selgitab, kuidas selektorid, marsruudid ja edastamine Linuxi vastaspoolel koostoimivad.