انتخابگر گسترده IPsec به معنای اجازه برای هر سرویس نیست

دو همتا توافق می‌کنند یک زیرشبکه کامل را محافظت کنند و کسی آن توافق را اجازه دسترسی به هر سرویس درون آن می‌خواند. این همان افسانه است: انتخابگر می‌گوید تونل آماده حمل چه ترافیکی است و درباره این که سازمان چه سرویس‌هایی را مجاز می‌کند چیزی نمی‌گوید. دو دستگاه می‌توانند به‌طور مشروع بر یک محدوده نشانی گسترده توافق کنند در حالی که سیاست دسترسی درون آن دو پورت را مجاز می‌کند و هر دو گزاره هم‌زمان درست می‌مانند.

پوشش محافظت‌شده مجوز نیست

انتخابگر ترافیک بخشی از توافق تونل است. آنچه را که همتاها بین خود رمزگذاری می‌کنند محدود یا تأیید می‌کند و وقتی دو طرف جریان‌های زیادی برای حمل دارند انتخابگر گسترده اغلب ساده‌ترین چیز برای بهره‌برداری است. صافی سرویس کنترل دیگری در نقطه‌ای دیگر از مسیر است و تعیین می‌کند پس از رمزگشایی بسته واقعاً چه چیزی می‌تواند استفاده شود. حذف صافی برای این‌که یک آزمون قبول شود، یک تصمیم سیاستی را به حادثه تبدیل می‌کند.

دو سابقه را در سند طراحی جدا نگه دارید، زیرا خواننده‌ای که فقط انتخابگر را می‌بیند مجوزی را استنباط می‌کند که هرگز داده نشده است. دو خط در سابقه تغییر این را جلوگیری می‌کند و کمتر از بحث بعدی وقت می‌گیرد.

یک جریان را از هر دو سو توصیف کنید

آغازگر، پاسخ‌دهنده، مبدأ و مقصد را همان‌گونه که ارائه می‌شوند، پروتکل و هر دو پورت را بنویسید. سپس هر یک از این برچسب‌ها را برای طرف دیگر برعکس کنید، زیرا پورت مبدأ گذرای یک کارخواه به پورت مقصد یک پاسخ تبدیل می‌شود و شبکه دور به شبکه محلی بدل می‌شود. پیکربندی‌ای که بدون این برعکس‌سازی از یک سو به سوی دیگر کپی شود همان چیزی است که صافی‌ها در نهایت به جهت دقیقاً اشتباه اجازه می‌دهند. جدول را یک بار بنویسید و هر دو صافی را از آن بسازید.

پیش از کپی کردن هر چیز بر مدل انتخاب توافق کنید، زیرا طراحی مبتنی بر سیاست و طراحی مبتنی بر مسیر همان قصد را با اشیای متفاوت بیان می‌کنند. نام مدل را کنار جریان بنویسید، وگرنه مهندس بعدی یک بعدازظهر را صرف تطبیق اشیایی می‌کند که هرگز قابل مقایسه نبودند.

صافی‌ای را پیدا کنید که واقعاً اعمال می‌شود

در یک ASA، صافی VPN یک ACL است که به سیاست گروه متصل و بر ترافیک پس از رمزگشایی و پیش از رمزگذاری اعمال می‌شود. مستندات سیاست گروه سیسکو همچنین وراثت را توصیف می‌کند، از جمله مقداری در سطح کاربر که مقدار سیاست گروه را جایگزین می‌کند. بنابراین ACLی که ویرایش کردید ممکن است همان ACLی نباشد که نشست پیش روی شما را اداره می‌کند. همین برای شیء کاربر نیز صادق است که می‌تواند بدون برجای گذاشتن رد آشکار زیاد بر گروه غالب شود.

نشست مؤثر را بررسی کنید نه شیئی را که به یاد دارید تغییر داده‌اید، و یادداشت کنید کدام شیء سیاست آن را تأمین می‌کند. همین یک گام شمار شگفت‌آوری از گزارش‌های نوع صافی درست است اما کار نمی‌کند را حل می‌کند.

جهت، پورت‌ها و حالت معکوس

قاعده مستندشده شبکه دور یا نشانی‌های اختصاص‌یافته کارخواهان دور را در جایگاه مبدأ و شبکه محلی را در جایگاه مقصد قرار می‌دهد و پاسخ‌ها را با جابه‌جایی جایگاه نشانی‌ها بیان می‌کند. قواعد پورت روی این قاعده سوار می‌شوند و بیش از نشانی‌ها نیازمند دقت‌اند.

مدل مستندشده می‌تواند بگذارد قاعده پورت مقصد بر آغاز معکوسی که همان پورت مبدأ را به کار می‌برد اثر بگذارد، یعنی صافی صرفاً یک قاعده درخواست یک‌طرفه با پاسخ‌های بی‌ضرر نیست. هر دو جهت آغاز را آشکارا بررسی کنید و حالتی را که می‌خواهید رد کنید نیز بگنجانید.

همان مستندات صافی را به اتصال‌های آغازین محدود می‌کند، بنابراین اجرای فراگیر هر کانال ثانویه‌ای نیست که یک برنامه بررسی‌شده باز می‌کند. جایی که سیاست کامل به آن پوشش نیاز دارد، به یک مرز جداگانه تعلق دارد نه به ACLی که فراتر از هدفش کشیده شود.

پیش از پایان یافته خواندن، سه حالت را بیازمایید

جریان مورد نظر را بپذیرید، سرویسی را که سیاست منع می‌کند رد کنید و حالت جهت معکوسی را که درباره‌اش استدلال کردید تمرین کنید. آن‌ها را زیر یک برنامه تأییدشده با همان هویت‌ها و انتخابگرهایی که مستقر می‌کنید اجرا کنید. آزمونی که فقط کارکردن سرویس مجاز را نشان می‌دهد تونل را اثبات می‌کند، نه سیاست را.

پوشش مورد توافق و تصمیم دسترسی را به‌عنوان دو سابقه نگه دارید، زیرا توضیح این‌که VPN چه چیزی را مجاز می‌کند به هر دو نیاز دارد.