Voiko yksi WAN-rajapinta palvella sekä sivustojen välistä että etä-VPN:ää?

Yksi julkinen osoite voi palvella samanaikaisesti haarakonttorin tunnelia ja liikkuvien käyttäjien allasta. Se ei voi kuitenkaan palvella yhtä yhteistä hyväksymissääntöä. Haaran vertaislaite ja liikkuva käyttäjä eroavat siinä, keiksi he väittävät itsensä, miten tuo todiste tarkistetaan, mitä osoitteita he saavat ja mitkä etuliitteet saavat vastata heille. Kun kohtelet ulkoista osoitetta kuljetuksen yksityiskohtana etkä identiteettinä, suunnittelusta tulee paljon yksinkertaisempaa.

Nopea järkevyystesti: yritä kirjoittaa molemmat hyväksymistietueet ennen kuin kosket reitittimeen. Jos yhden sovitusehdon on katettava molemmat, käytäntö on jo monitulkintainen, ja ensimmäinen oire näyttää reititys- tai palomuurivikalta, vaikka kyse on todellisuudessa identiteettivika.

Kaksi tietuetta ennen mitään kokoonpanoa

Haaran tietue on lyhyt ja vakaa. Se luettelee vertaisen osoitteen tai varmenteen nimen, ennalta jaetun avaimen tai varmenteen luottamuspisteen, molemmilla puolilla suojatut aliverkot, tunnelin rajapinnan ja staattisen reitin, joka lähettää haaraan suunnatun liikenteen kyseiseen tunneliin. Jokainen kenttä koskee yhtä tunnettua vertaista ja kiinteää etuliitejoukkoa.

Liikkuvuuden tietue on laajempi ja henkilökohtaisempi. Se luettelee asiakasohjelman protokollan ja portin, miten käyttäjä tai laite todennetaan, yhteyden muodostuksessa jaettavan osoitekannan, resurssit joihin kanta saa päästä, jaetun tunnelin etuliitteet, asiakkaalle työnnettävät DNS-palvelimet ja mahdollisen toisen tekijän. Jokainen kenttä vastaa kysymykseen tuntemattomasta määrästä käyttäjiä, ei yhdestä yhdyskäytävästä.

Tämä ero yksityiskohtaisuudessa on koko syy siihen, miksi kaksi roolia eriytyvät. Haaran profiili voi turvallisesti luottaa yhteen avaimeen, koska avain kuuluu yhdelle laitteelle yhdessä paikassa. Liikkuvuuden profiili, joka luottaa yhteen ryhmäavaimeen kaikkien puolesta, romahduttaa käyttäjäkohtaisen vastuun, ja se yleensä havaitaan myöhemmin, tapahtuman jälkikäsittelyssä eikä käyttöönotossa.

Missä vertaisten sovitus ja todennus eriytyvät

IOS XE:ssä IKEv2-profiili kantaa parametrit, joista ei voi neuvotella, ja ehdot joilla vertaislaite valitaan. Se tarkoittaa, että haaran puoli ja liikkuvuuden puoli tarvitsevat kumpikin oman profiilin, vaikka ne päättyvät samaan rajapintaan ja vaikka ne jakavat yhden salausavaimiston PKI:n. Cisco kuvaa profiilin, todennuksen ja sovituksen roolit sen IOS XE 17:n IKEv2-kokoonpano-oppaassa.

Haaran profiili sovittuu yleensä kapeaan identiteettiin: etäosoitteeseen, FQDN:ään tai varmenteen subjektiin. Jokin kuten match identity remote address 198.51.100.10 255.255.255.255 kiinnittää yhden vertaisen, ja authentication remote pre-share paikkakohtaisesti tallennetulla avaimella riittää. Pidä sovitus niin tarkkana kuin vertaisluettelo sallii, sillä valintajärjestyksessä ylempänä oleva päällekkäinen jokerimerkki voi vetää haaran liikenteen väärään profiiliin.

Liikkuvuuden profiili ei voi kiinnittää osoitetta, joten se sovittuu ryhmään, key-id:hen tai varmenteen kenttään ja luovuttaa varsinaisen käyttäjätarkistuksen AAA:lle tai profiiliin liitetylle valtuutuskäytännölle. Tämä erottelu merkitsee: vertaisen todennus vastaa siihen, saako asiakas rakentaa tunnelin, ja käyttäjäkohtainen valtuutus vastaa siihen, minkä kannan ja mitkä resurssit hän saa. Haaran avaimen käyttäminen yleisenä kirjautumisena heittää toisen vastauksen pois.

Välitys ja käännös tarvitsevat saman erottelun

Hyväksyntä ja tavoitettavuus ovat erillisiä ongelmia. Onnistunut IKE- ja IPsec-vaihto todistaa, että osapuolet ovat yhtä mieltä avaimista; se ei luo reittiä kantaan, jonka asiakas sai. Etäkäytön kannat tarvitsevat siksi paluupolun, joko tunnelin rajapintaan osoittavan staattisen reitin tai reititysprotokollan, joka syöttää kannan yhteenvedon. Haaran etuliitteet tulevat yleensä samasta reititysprosessista, joka palvelee muun toimipisteen.

Käännös on paikka, jossa kaksi roolia törmäävät useimmin. Sivustojen välinen liikenne, jonka on säilytettävä yksityiset osoitteensa, tarvitsee NAT-poikkeuksen rajattuna noihin kahteen etuliitteeseen, molempiin suuntiin. Liikkuvat asiakkaat tarvitsevat yleensä poikkeuksen myös tunnelissa kulkevalle liikenteelleen, mutta heidän internetiin suuntautuva liikenteensä joko ohittaa tunnelin jaetun tunnelin kautta tai poistuu keskuksessa NAT:n jälkeen. Kaiken tunnelista tulevan vapauttaminen on klassinen virhe, koska se poistaa käännöksen myös liikenteeltä, joka sitä todella tarvitsee.

Pidä poikkeussäännöt yhtä kapeina kuin hyväksymissäännöt. Jos kannan yhteenveto ja haaran etuliite menevät päällekkäin, paluupolusta tulee monitulkintainen kauan ennen kuin yhtään pakettia pudotetaan, ja oire näkyy toimipisteenä, joka ajoittain menettää aliverkon, eikä puhtaana tunnelivikana.

Hyväksyntätapaukset, jotka paljastavat ristikkäisen käytännön

Rakenna neljä tapausta ja aja ne järjestyksessä. Haaran isäntä tavoittaa vain haaran resurssin. Liikkuva asiakas tavoittaa saman resurssin kannan osoitteellaan. Liikkuva asiakas yrittää haaran etuliitettä, jota sen ei pitäisi koskettaa. Haaran vertaislaite yrittää saada osoitteen etäkäytön kannasta. Kaksi viimeistä ovat ne, jotka nappaavat jaetun profiilin, koska ne epäonnistuvat hiljaisesti tavallisessa valvonnassa.

Vahvista sitten datataso eikä kokoonpano. show crypto ikev2 sa ja show crypto ipsec sa kertovat, mikä profiili ja mitkä valitsimet kuljettivat kunkin virtauksen, kun taas show ip nat translations ja tunnelin laskurit näyttävät, osuivatko paluupolku ja poikkeus todella kohdalleen. Tracer tai paketin sieppaus tunnelin rajapinnalla sulkee silmukan.

Kirjoita havaittu identiteetti, kannan osoite ja valittu käytäntö kunkin tuloksen viereen. Ajo on valmis, kun jokainen tapaus vastaa täsmälleen yhtä tietuetta eikä mikään tapaus tarvitse väliaikaista poikkeusta läpäistäkseen.