Mitä sivustojen välisestä VPN:stä kirjataan: valitsimet ja laajuus

Kuusi kuukautta tunnelin käyttöönoton jälkeen uusi aliverkko lakkaa vastaamasta käytäntöä, ja ainoa jaetulla asemalla oleva asiakirja sanoo toimiston VPN. Se on se vika, jonka valitsintietue estää, ja se on täsmällinen: osoitejoukko muuttui, mutta paperit eivät. Tietueen oikein kirjoittaminen tarkoittaa, että tietää, mitä useasta osoitejoukosta kuvaa, ja kirjaa sen, jonka vastapuoli tosiasiassa panee täytäntöön, eikä sitä, jonka itse määritti.

Määritetty ei ole sovittu

Käytäntöperusteisessa IPsec-tunnelissa kumpikin osapuoli ehdottaa liikennevalitsimia: lähde- ja kohdealueet aliliitokselle. Vastaava osapuoli saa kaventaa tätä ehdotusta , joten asennettu assosiaatio voi kattaa vähemmän kuin määritys luettelee. Määrityksen kopioiva tietue kuvaa siis aikomusta, ei nykyistä suojauksen laajuutta. Ne erkanevat hiljaa, eikä mikään tunnelin tilasivulla osoita sitä.

Säilytä molemmat sarakkeet ja päivä, jona havaitsit ne. Määritetty valitsin on se, mitä tarkoitit; sovittu on se, mitä ydin panee parhaillaan täytäntöön. Kun ne eroavat, tämä ero selittää yllättävän vian paljon useammin kuin reititysvirhe.

Yksi assosiaatio ei myöskään edusta jokaista määritettyä paria. Tunneli, jossa on useita valitsinyhdistelmiä, voi päätyä useisiin aliliitoksiin, ja tietue, joka luettelee niistä yhden, on osittainen luettelo. Luettele ne sen sijaan, että tiivistäisit ne.

Reittipohjaiset tunnelit valitsevat toisin

Reittipohjaisessa rajapinnassa reititystaulu päättää, mikä tunneliin tulee, ja valitsimet voivat olla tarkoituksella väljiä. Se on laillinen ratkaisu eikä huolimattomuutta, ja tietueen on kuvattava se sellaisena. Kirjaa reitti, rajapinta, johon se osoittaa, ja palomuurikäytäntö, joka rajoittaa, mitkä palvelut ovat tavoitettavissa. Suojauksen laajuus on tarkoituksella leveä, ja palvelun laajuus tekee kavennuksen.

Käytäntöperusteisen mallin kopioiminen reittipohjaiseen tunneliin tuottaa asiakirjan, joka kuvaa mekanismia, jota käyttöönotto ei käytä. Seuraava insinööri etsii sitten valitsimia, joita siellä ei koskaan pitänyt olla, ja päättelee tunnelin olevan väärin määritetty, vaikka se on vain huonosti dokumentoitu.

Käännös kuuluu samaan tauluun

Kun NAT esittää vastapuolelle eri alueen, kirjaa alkuperäiset ja käännetyt etuliitteet yhdessä. Merkitse vaihe, jossa valitsimet ja käyttösäännöt sovittavat ne, koska järjestys ratkaisee, näkeekö kauko-osapuoli koskaan kirjaamaasi osoitetta. Taulu, jossa on vain toinen kahdesta alueesta, on huonompi kuin ei taulua lainkaan, koska se näyttää täydelliseltä.

Tämä on se yksityiskohta, joka rikkoo toimivan tunnelin NAT-muutoksen jälkeen: valitsin vastaa yhä alkuperäistä etuliitettä, vastapuoli saa nyt käännetyn, ja sen paluureitti osoittaa osoitteeseen, jota ei enää ole. Mikään ei kirjaa virhettä hetkellä, jolloin ne lakkaavat täsmäämästä.

Yksityinen DNS kuuluu samaan paikkaan. Nimi, joka ratkeaa osoitteeksi, jota kyseiseltä sivustolta ei voi käyttää, on dokumentointivirhe, johon on liitetty tukipyyntö, ja siitä syytetään tunnelia.

Liitä palveluvaatimus

Suojattu alue ei ole lupaluettelo. Kirjaa, mitkä palvelut on tarkoitus tavoittaa mistäkin lähteestä, ja kuka omistaa niiden takana olevan sovelluksen. Nämä kaksi kenttää vastaavat eri kysymyksiin, ja niiden sekoittaminen on tapa, jolla tietoturvakatsaus päätyy väittelemään reitityksestä käytön sijaan.

Nimeä sitten sääntöä ylläpitävä verkkoylläpitäjä. Valitsinluettelo ilman omistajaa vanhenee hiljaa, eikä vanhentunutta voi erottaa väärästä, kun tunneli hajoaa kahdelta yöllä. Omistaja on myös se henkilö, joka voi vahvistaa muutoksen olleen tarkoituksellinen.

Muuta tietue testisuunnitelmaksi

Valitse jokaiselle vaaditulle polulle edustava lähde- ja kohdeisäntä ja merkitse odotettu reitti, palvelu ja vastauksen yhdyskäytävä. Se muuttaa asiakirjan kuvauksen sijaan testisuunnitelmaksi. Lue elävä assosiaatio alla olevalla komennolla ja vertaa sitä kirjaamaasi sovittuun riviin.

swanctl --list-sas

Viiden rivin runko riittää yleensä pitämään tietueen rehellisenä. Alla oleva versio mahtuu muutospyyntöön ilman katkaisua:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Pelkkä ping yhdyskäytävään ei ole hyväksymistesti. Se ei koskaan harjoita kauttakulkupolkua, joten se voi mennä läpi, vaikka jokainen edelleenlähetetty virta epäonnistuu. Testaa toisen puolen isännästä toisen puolen palveluun ja varmista, että vastaus saapuu tunnelin kautta. Jos vain ping menee läpi, tietue löysi juuri sen edelleenlähetysongelman, jonka estämiseksi se kirjoitettiin. strongSwanin edelleenlähetysdokumentaatio selittää, miten valitsimet, reitit ja edelleenlähetys vaikuttavat toisiinsa Linux-vastapuolella.