In breed IPsec-selektor is gjin tastimming foar elke tsjinst

Twa peers komme oerien om in hiel subnet te beskermjen, en immen lêst dy oerienkomst as tastimming om elke tsjinst deryn te berikken. Dat is de myte: de selektor seit hokker ferkear de tunnel ree is te dragen, en hy seit neat oer hokker tsjinsten de organisaasje tastiet. In pear apparaten kinne legitimerwei oer in breed adresberik ûnderhannelje wylst it tagongsbelied deryn twa poarten tastiet, en beide útspraken bliuwe tagelyk wier.

Beskoattele dekking is gjin autorisaasje

In ferkearsselektor is diel fan de tunnel-oerienkomst. Hy fernauet of befêstiget wat de peers ûnderinoar fersiferje sille, en in breed selektor is faak it simpelst om te betsjinjen as beide kanten in soad streams drage moatte. De tsjinstfilter is in oare kontrôle op in oar plak yn it paad, en dy beslút wat der nei it ûntsiferjen fan it pakket echt brûkt wurde mei. It fuortheljen fan de filter om ien test te heljen makket fan in beliedsbeslút in ûngemak.

Hâld de twa records apart yn it ûntwerpdokumint, want in lêzer dy't allinnich de selektor sjocht sil autorisaasje ôfliede dy't nea jûn is. Twa rigels yn in wizigingsrecord foarkomme dat, en se kostje minder tiid as de diskusje dy't folget.

Beskriuw ien stream fan beide kanten

Skriuw de inisjator, de respondint, de boarne en de bestimming sa’t se presintearre wurde, it protokol en beide poarten op. Draai dan elk fan dy labels om foar it oare einpunt, want de efemere boarnepoarte fan in klant wurdt de bestimmingspoarte fan in antwurd en it fiere netwurk wurdt it lokale. In konfiguraasje dy’t fan de iene kant nei de oare kopiearre wurdt sûnder dy omdraaiing is hoe’t filters úteinlik krekt de ferkearde rjochting tastean. Skriuw de tabel ien kear en bou beide filters dêrút.

Kom oerien oer it seleksjemodel foardat jo wat dan ek kopiearje, want in beliedsbasearre ûntwerp en in rûtbasearre ûntwerp uterje deselde bedoeling troch ferskillende objekten. Skriuw de modelnamme njonken de stream, oars sil de folgjende yngenieur in middei besteegje oan it matsen fan objekten dy’t nea ferlykber wiene.

Fyn de filter dy’t echt fan tapassing is

Op in ASA is de VPN-filter in ACL dy’t oan in groepbelied ferbûn is en tapast wurdt op ferkear nei ûntsiferjen en foar fersiferjen. Cisco’s dokumintaasje oer groepbelied beskriuwt ek erfskip, wêrûnder in wearde op brûkersnivo dy’t de wearde fan it groepbelied ferfangt. Dat de ACL dy’t jo bewurke hawwe is miskien net de ACL dy’t de sesje foar jo bestjoert. Itselde jildt foar it brûkersobjekt, dat de groep oerhearskje kin sûnder folle sichtber spoar efter te litten.

Undersykje de effektive sesje ynstee fan it objekt dat jo jo bewurke hawwe, en notearje hokker beliedsobjekt it leveret. Dy iene stap lost ferbjusterjend in protte rapporten op fan it type de filter is goed mar hy wurket net.

Rjochting, poarten en it omkearde gefal

De dokumintearre konvinsje pleatst it fiere netwurk, of de tawiisde adressen fan fiere klanten, yn de boarneposysje en it lokale netwurk yn de bestimmingsposysje, wylst antwurden útdrukt wurde troch de adresposysjes te ferwikseljen. Poartregels sitte boppe op dy konvinsje en fertsjinje mear soarch as de adressen.

It dokumintearre model kin in bestimmingspoartregel ynfloed jaan op omkearde inisjaasje dy’t deselde boarnepoarte brûkt, wat betsjut dat de filter net samar in ienrjochtingsfersykregel is mei ûnskuldige antwurden derby. Tink beide inisjaasjerjochtingen eksplisyt troch, en nim it gefal op dat jo wegerje wolle.

Deselde dokumintaasje beheint de filter ta earste ferbiningen, dus it is gjin universele hanthavening fan elk sekundêr kanaal dat in ûndersochte applikaasje iepenet. Wêr’t it folsleine belied dy dekking nedich hat, heart it by in aparte grins ynstee fan yn in ACL dy’t foarby syn doel lutsen wurdt.

Test trije gefallen foardat jo it klear neame

Akseptearje de bedoelde stream, wegerje in tsjinst dy’t it belied ferbiedt, en oefen it omkearderjochtingsgefal dêr’t jo oer neitocht hawwe. Rin se ûnder in goedkard plan mei deselde identiteiten en selektors dy’t jo útrolle sille. In test dy’t allinnich sjen lit dat de tastiene tsjinst wurket, bewiist de tunnel, net it belied.

Hâld de ûnderhannele dekking en it tagongsbeslút as twa records, want om út te lizzen wat in VPN tastiet is beide nedich.