Laaja IPsec-valitsin ei ole lupa jokaiseen palveluun

Kaksi osapuolta sopivat suojaavansa kokonaisen aliverkon, ja joku lukee tämän sopimuksen lupana päästä jokaiseen sen sisäiseen palveluun. Se on myytti: valitsin kertoo, mitä liikennettä tunneli on valmis kuljettamaan, eikä kerro mitään siitä, mitkä palvelut organisaatio sallii. Kaksi laitetta voivat laillisesti neuvotella laajasta osoitealueesta, samalla kun sen sisäinen käyttöoikeuskäytäntö sallii kaksi porttia, ja molemmat väitteet pysyvät samanaikaisesti tosina.

Suojattu kattavuus ei ole valtuutus

Liikennevalitsin on osa tunnelisopimusta. Se rajaa tai vahvistaa, mitä osapuolet salaavat keskenään, ja laaja valitsin on usein yksinkertaisin hallita, kun molemmilla puolilla on paljon virtoja. Palvelusuodatin on toinen valvonta toisessa kohdassa polkua, ja se päättää, mitä paketin salauksen purkamisen jälkeen saa tosiasiassa käyttää. Suodattimen poistaminen, jotta yksi testi menee läpi, muuttaa käytäntöpäätöksen onnettomuudeksi.

Pidä kaksi kirjausta erillään suunnitteludokumentissa, koska lukija, joka näkee vain valitsimen, päättelee valtuuden, jota ei koskaan myönnetty. Kaksi riviä muutoskirjauksessa estää sen, ja ne vievät vähemmän aikaa kuin seuraava väittely.

Kuvaa yksi virta molemmista päistä

Kirjoita ylös aloittaja, vastaaja, lähde ja kohde esitetyssä muodossa, protokolla ja molemmat portit. Käännä sitten jokainen näistä nimikkeistä toiselle päätepisteelle, koska asiakkaan lyhytaikaisesta lähdeportista tulee vastauksen kohdeportti ja etäverkosta tulee paikallinen. Kokoonpano, joka kopioidaan puolelta toiselle ilman tätä käännöstä, on syy siihen, miksi suodattimet lopulta sallivat juuri väärän suunnan. Kirjoita taulukko kerran ja rakenna molemmat suodattimet siitä.

Sovi valintamallista ennen kuin kopioit mitään, koska käytäntöperusteinen suunnittelu ja reittiperusteinen suunnittelu ilmaisevat saman aikomuksen eri olioilla. Kirjoita mallin nimi virran viereen, muuten seuraava insinööri viettää iltapäivän sovittaen olioita, jotka eivät koskaan olleet vertailukelpoisia.

Etsi suodatin, joka tosiasiassa pätee

ASA:ssa VPN-suodatin on ACL, joka on liitetty ryhmäkäytäntöön ja jota sovelletaan salauksen purkamisen jälkeiseen ja salausta edeltävään liikenteeseen. Ciscon ryhmäkäytäntöjen dokumentaatio kuvaa myös periytymisen, mukaan lukien käyttäjätason arvon, joka korvaa ryhmäkäytännön arvon. Siis muokkaamasi ACL ei välttämättä ole se ACL, joka hallitsee edessäsi olevaa istuntoa. Sama pätee käyttäjäolioon, joka voi ohittaa ryhmän jättämättä paljon näkyvää jälkeä.

Tarkastele tehokasta istuntoa sen sijaan, että katsoisit oliota, jonka muistat muuttaneesi, ja kirjaa, mikä käytäntöolio sen tarjoaa. Se yksi askel ratkaisee hämmästyttävän monta raporttia tyyppiä suodatin on oikein mutta se ei toimi.

Suunta, portit ja käänteinen tapaus

Dokumentoitu käytäntö asettaa etäverkon tai määritetyt etäasiakkaiden osoitteet lähdeasemaan ja paikallisen verkon kohdeasemaan, ja vastaukset ilmaistaan vaihtamalla osoitteiden asemat. Porttisäännöt istuvat tämän käytännön päällä ja ansaitsevat enemmän huolta kuin osoitteet.

Dokumentoitu malli voi sallia, että kohdeporttisääntö vaikuttaa käänteiseen aloitukseen, joka käyttää samaa lähdeporttia, mikä tarkoittaa, että suodatin ei ole vain yksisuuntainen pyyntösääntö vaarattomilla vastauksilla. Käy läpi molemmat aloitussuunnat selvästi ja sisällytä tapaus, jonka aiot hylätä.

Sama dokumentaatio rajaa suodattimen alkuyhteyksiin, joten se ei ole kaikkien toissijaisten kanavien yleinen valvonta, joita tarkasteltu sovellus avaa. Kun täysi käytäntö tarvitsee tämän kattavuuden, se kuuluu erilliselle rajalle eikä ACL:lle, jota venytetään sen tarkoituksen yli.

Testaa kolme tapausta ennen kuin sanot sen valmiiksi

Hyväksy aiottu virta, hylkää palvelu, jonka käytäntö kieltää, ja harjoittele käänteinen suunta, jota pohdit. Aja ne hyväksytyn suunnitelman mukaisesti samoilla identiteeteillä ja valitsimilla, jotka otat käyttöön. Testi, joka näyttää vain sallitun palvelun toimivan, osoittaa tunnelin, ei käytäntöä.

Pidä neuvoteltu kattavuus ja käyttöoikeuspäätös kahtena kirjauksena, koska sen selittäminen, mitä VPN sallii, vaatii molemmat.