IPsec hautatzaile zabala ez da zerbitzu guztietarako baimena

Bi aldeek azpisare oso bat babestea adosten dute, eta norbaitek akordio hori bertan dauden zerbitzu guztietara iristeko baimen gisa irakurtzen du. Hori da mitoa: hautatzaileak tunelak zer trafiko garraiatzeko prest dagoen esaten du, eta ez du ezer esaten erakundeak zein zerbitzu baimentzen dituen. Bi gailuk legitimoki negozia dezakete helbide-barruti zabal bat, barruko sarbide-politikak bi portu baimentzen dituen bitartean, eta bi baieztapenak aldi berean egiazkoak izaten jarraitzen dute.

Estaldura babestua ez da baimena

Trafiko-hautatzailea tunel-akordioaren zati da. Aldeek elkarren artean zer zifratuko duten mugatzen edo baieztatzen du, eta hautatzaile zabala izan ohi da eragiketa errazena bi aldeek fluxu asko garraiatu behar dituztenean. Zerbitzu-iragazkia beste kontrol bat da bidearen beste puntu batean, eta paketea deszifratu ondoren zer erabil daitekeen erabakitzen du. Iragazkia kentzea proba bat pasa dadin politikako erabakia istripu bihurtzea da.

Eduki bi erregistroak bereizita diseinu-dokumentuan, hautatzailea soilik ikusten duen irakurleak inoiz eman ez zen baimena ondorioztatuko baitu. Aldaketen erregistroan bi lerrok hori eragozten dute, eta ondorengo eztabaidak baino denbora gutxiago hartzen dute.

Deskribatu fluxu bat bi muturretatik

Idatzi abiarazlea, erantzulea, jatorria eta helmuga aurkezten diren moduan, protokoloa eta bi portuak. Gero itzuli etiketa horietako bakoitza beste muturrerako, bezero baten jatorrizko portu iragankorra erantzun baten helmuga-portu bihurtzen baita eta urrutiko sareak tokikoa bihurtzen dira. Alde batetik bestera inbertsio hori gabe kopiatutako konfigurazioa da iragazkiek azkenean norabide okerra ahalbidetzen duten modua. Idatzi taula behin eta eraiki bi iragazkiak hartatik.

Adostu hautapen-eredua ezer kopiatu aurretik, politiketan oinarritutako diseinuak eta ibilbideetan oinarritutako diseinuak asmo bera objektu desberdinen bidez adierazten baitute. Idatzi ereduaren izena fluxuaren ondoan, bestela hurrengo ingeniariak arratsalde bat emango du inoiz konparagarri izan ez ziren objektuak parekatzen.

Aurkitu benetan aplikatzen den iragazkia

ASA batean, VPN iragazkia talde-politika bati lotutako ACL bat da, eta deszifratu ondorengo eta zifratu aurreko trafikoari aplikatzen zaio. Ciscoren talde-politiken dokumentazioak oinordetza ere deskribatzen du, talde-politikaren balioa ordezkatzen duen erabiltzaile-mailako balio bat barne. Beraz, editatu duzun ACLa agian ez da zure aurrean dagoen saioa gobernatzen duen ACLa. Gauza bera gertatzen da erabiltzaile-objektuarekin, taldea gaindi dezakeena arrasto ikusgai handirik utzi gabe.

Aztertu benetako saioa, aldatu duzula uste duzun objektua beharrean, eta idatzi zein politika-objektuk ematen dion. Urrats horrek harritzekoa den txosten kopurua konpontzen du iragazkia zuzena da baina ez dabil modukoa.

Norabidea, portuak eta alderantzizko kasua

Dokumentatutako konbentzioak urrutiko sarea, edo urrutiko bezeroen helbide esleituak, iturriaren posizioan jartzen ditu, eta tokiko sarea helmugaren posizioan; erantzunak helbideen posizioak trukatuz adierazten dira. Portu-arauak konbentzio horren gainean daude, eta helbideek baino arreta handiagoa merezi dute.

Dokumentatutako ereduak helmuga-portuaren arau batek jatorrizko portu bera erabiltzen duen alderantzizko abiarazteari eragitea ahalbidetzen du, eta horrek esan nahi du iragazkia ez dela erantzun kaltegabeak dituen norabide bakarreko eskaera-arau soila. Pentsatu ondo bi abiarazte-norabideak, eta sartu ukatu nahi duzun kasua.

Dokumentazio bera iragazkia hasierako konexioetara mugatzen da, beraz ez da ikuskatutako aplikazio batek irekitzen dituen bigarren mailako kanal guztien betearazpen unibertsala. Politika osoak estaldura hori behar duen tokian, muga propio batean dagokio, helburutik harago luzatutako ACL batean beharrean.

Probatu hiru kasu amaitu dela esan aurretik

Onartu nahi den fluxua, ukatu politikak debekatzen duen zerbitzua, eta landu pentsatu duzun alderantzizko norabidearen kasua. Exekutatu onartutako plan baten pean zabalduko dituzun identitate eta hautatzaile berberekin. Baimendutako zerbitzua soilik funtzionatzen duela erakusten duen probak tunela frogatzen du, ez politika.

Eduki negoziatutako estaldura eta sarbide-erabakia bi erregistro gisa, VPN batek zer baimentzen duen azaltzeko biak behar baitira.