Zerbitzu ditzake WAN interfaze bakar batek saitu arteko VPN eta urruneko sarbidea?

Helbide publiko bakar batek adar-tunela eta ibiltari diren erabiltzaileen pool bat aldi berean zerbitza ditzake. Baina ezin du onarpen-arau partekatu bakarra zerbitzatu. Adarraren parekidea eta ibiltari den erabiltzailea desberdinak dira nor direla frogatzen duten, froga hori nola egiaztatzen den, zein helbide jasotzen dituzten eta zein aurrizkik erantzun diezaieketen. Kanpoko helbidea identitate gisa beharrean garraio-xehetasun gisa tratatzen duzunean, diseinua askoz errazagoa bihurtzen da.

Zentzutasun-proba azkarra: saiatu onarpen-erregistro biak idazten routerrari ukitu aurretik. Parekatze-baldintza bakar batek biak estali behar baditu, politika jada anbiguoa da, eta lehen sintoma bideratze- edo suebaki-hutsegite baten itxura izango du, nahiz eta benetan identitate-hutsegitea izan.

Bi erregistro edozein konfigurazio baino lehen

Adarraren erregistroa laburra eta egonkorra da. Parekidearen helbidea edo ziurtagiriaren izena zerrendatzen ditu, aurrez partekatutako gakoa edo ziurtagiriaren konfiantza-puntua, bi aldeetako azpisare babestuak, tunelaren interfazea eta adarrera bideratutako trafikoa tunel horretara bidaltzen duen bide estatikoa. Eremu bakoitza parekide ezagun bati eta aurrizki multzo finko bati buruzkoa da.

Ibiltarien erregistroa zabalagoa eta pertsonalagoa da. Klientsaren protokoloa eta ataka zerrendatzen ditu, erabiltzaile edo gailu bat nola autentifikatzen den, konektatzean ematen den helbide-poola, pool horrek irits ditzakeen baliabideak, tunel zatituaren aurrizkiak, klientsera bultzatzen diren DNS zerbitzariak eta edozein bigarren faktore. Eremu bakoitzak erabiltzaile kopuru ezezagun bati buruzko galderari erantzuten dio, ez atebide bakarrari.

Granularitatearen desberdintasun hori da bi rolek banatzen duten arrazoi osoa. Adar-profil batek gako bakarrean konfiantza dezake segurtasunez, gakoa toki bakarreko gailu bakar batekoa delako. Denentzat talde-gako bakarrean konfiantza duen ibiltarien profilak erabiltzaile bakoitzeko erantzukizuna hondatzen du, eta hori normalean geroago aurkitzen da, gertaera baten berrikuspenean eta ez ezarpenean.

Non banatzen diren parekideen parekatzea eta autentifikazioa

IOS XE-n IKEv2 profilak negozia ezin daitezkeen parametroak daramatza, eta parekidea hautatzeko erabiltzen diren baldintzak. Horrek esan nahi du adarraren aldeak eta ibiltarien aldeak bakoitzak bere profila behar duela, interfaze berean amaitzen badira ere eta kriptografia PKI bat partekatzen badute ere. Cisco-k profilaren, autentifikazioaren eta parekatzearen rolak deskribatzen ditu bere IOS XE 17rako IKEv2 konfigurazio-gidan.

Adar-profilak identitate estua parekatzen du normalean: urruneko helbide bat, FQDN bat edo ziurtagiri-subjektu bat. match identity remote address 198.51.100.10 255.255.255.255 bezalako zerbait parekide bat finkatzen du, eta toki bakoitzeko gordetako gakoa duen authentication remote pre-share nahikoa da. Mantendu parekatzea parekide-inbentarioak ahalbidetzen duen bezain zehatza, hautapen-ordenean goiago dagoen komodin gainjarri batek adarraren trafikoa profil okerrean sar dezakeelako.

Ibiltarien profilak ezin du helbiderik finkatu, beraz talde batekin, key-id batekin edo ziurtagiri-eremu batekin parekatzen da, eta gero erabiltzailearen egiazko egiaztapena AAAri edo profilari lotutako baimen-politikari ematen dio. Bereizketa horrek axola du: parekidearen autentifikazioak klientsak tunela eraiki dezakeen erantzuten du, eta erabiltzaile bakoitzeko baimenak zein pool eta zein baliabide lortzen dituen erantzuten du. Adarraren gakoa saioa hasteko modu unibertsal gisa erabiltzeak bigarren erantzuna botatzen du.

Birbidalketak eta itzulpenak bereizketa bera behar dute

Onarpena eta irisgarritasuna arazo bereiziak dira. IKE eta IPsec truke arrakastatsuak aldeak gakoei buruz ados daudela frogatzen du; ez du klientsak jasotako poolerako biderik sortzen. Beraz, urruneko sarbideko poolek itzulera-bidea behar dute, edo tunelaren interfazera doan bide estatiko bat, edo poolaren laburpena injektatzen duen bideratze-protokolo bat. Adarraren aurrizkiak tokiko gainerakoa zerbitzatzen duen bideratze-prozesu beretik etortzen dira normalean.

Itzulpena da bi rolak sarrien talka egiten duten lekua. Bere helbide pribatuak mantendu behar dituen guneen arteko trafikoak NAT salbuespena behar du aurrizki horietara mugatua, bi noranzkoetan. Ibiltari diren klientek ere tunel barneko trafikoarentzako salbuespena behar izaten dute, baina haien interneteko trafikoak edo tunela saihesten du tunel zatituaren bidez, edo zentroan irteten du NAT ondoren. Tunel batetik datorren guztia salbuestea da akats klasikoa, benetan behar duen trafikoari itzulpena kentzen baitio ere.

Eduki itzazu salbuespen-arauak onarpen-arauak bezain estu. Poolaren laburpena eta adar-aurrizkia gainjartzen badira, itzulera-bidea anbiguoa bihurtzen da pakete bat bota aurretik askoz lehenago, eta sintomak tarteka azpisare bat galtzen duen gune gisa agertzen da, ez tunel-hutsegite garbi gisa.

Politika gurutzatua agerian uzten duten onarpen-kasuak

Eraiki lau kasu eta exekutatu hurrenez hurren. Adarreko ostalari batek adarrekoa soilik den baliabide batera iristen da. Ibiltari den kliente batek baliabide berera iristen da bere poolaren helbidearen bidez. Ibiltari den kliente batek ukitu behar ez lukeen adar-aurrizki bat probatzen du. Adarreko parekide batek urruneko sarbideko pooletik helbide bat lortzen saiatzen da. Azken biak dira profil partekatu bat harrapatzen dutenak, monitorizazio arruntean isil-isilik huts egiten baitute.

Ondoren berretsi datu-planoa, ez konfigurazioa. show crypto ikev2 sa eta show crypto ipsec sa esaten dute zein profilek eta zein hautatzailerek eraman zuten fluxu bakoitza, eta show ip nat translations eta tunelaren kontagailuek erakusten dute itzulera-bideak eta salbuespenak benetan bat egin zuten. Tunelaren interfazean tracer edo pakete-harrapaketa batek begizta ixten du.

Idatzi behatutako identitatea, poolaren helbidea eta hautatutako politika emaitza bakoitzaren ondoan. Exekuzioa amaituta dago kasu bakoitza erregistro bakar bati dagokionean, eta inongo kasuk ez duenean pasatzeko aldi baterako salbuespenik behar.