Kin ien WAN-ynterface sawol site-oan-site as ôfstân-VPN betsjinje?

Ien iepenbier adres kin tagelyk in filiaaltunnel en in pool rûnreizgjende brûkers betsjinje. Mar it kin net ien mienskiplike tagongsregel betsjinje. De filiaalpeer en de rûnreizgjende brûker ferskille yn wa't se sizze te wêzen, hoe't dat bewiis kontrolearre wurdt, hokker adressen se krije en hokker prefiksen har antwurdzje meie. Sadree't jo it bûtenadres as in ferfiersdetail behannelje ynstee fan as in identiteit, wurdt it ûntwerp folle ienfâldiger.

In flugge sûn-ferstânstest: besykje beide tagongsrecords te skriuwen foardat jo de router oanreitsje. As ien matchbetingst beide dekke moat, is it belied al dûbelsinnich, en it earste symptoom sil op in routing- of firewalfout lykje wylst it eins in identiteitsfout is.

Twa records foar elke konfiguraasje

It filiaalrecord is koart en stabyl. It listet it peeradres of de sertifikaatnamme, de foarôf dielde kaai of it sertifikaattrustpunt, de beskerme subnetten oan beide kanten, de tunnel-ynterface en de statyske rûte dy't filiaalrjochte ferkear yn dy tunnel stjoert. Elk fjild giet oer ien bekende peer en in fêste set prefiksen.

It rûnreizgjende record is breder en persoanliker. It listet it klantprotokol en de poarte, hoe't in brûker of apparaat autentisearret, de adrespool dy't by ferbining útjûn wurdt, de boarnen dy't dy pool berikke mei, de prefiksen fan 'e split-tunnel, de DNS-servers dy't nei de klant ta skood wurde, en elke twadde faktor. Elk fjild beantwurdet in fraach oer in ûnbekend oantal brûkers ynstee fan oer ien gateway.

Dat ferskil yn details is de hiele reden dat de twa rollen útinoar geane. In filiaalprofyl kin feilich op ien kaai fertrouwe, om't de kaai by ien apparaat op ien lokaasje heart. In rûnreizgjend profyl dat op ien grupkaai foar allegearre fertrout, smyt de ferantwurding per brûker om, en dat wurdt meastentiids letter ûntdutsen, by in ynsidintresinsje ynstee fan by de útrôl.

Wêr't peermatching en autentikaasje útinoar geane

Op IOS XE draacht it IKEv2-profyl de parameters dêr't net oer ûnderhannele wurde kin en de betingsten dy't brûkt wurde om de peer te kiezen. Dat betsjut dat de filiaalkant en de rûnreizgjende kant elk har eigen profyl nedich hawwe, sels as se op deselde ynterface einigje en sels as se ien kryptografyske PKI diele. Cisco beskriuwt de rollen fan profyl, autentikaasje en matching yn syn konfiguraasjegids foar IKEv2 op IOS XE 17.

It filiaalprofyl matcht meastentiids in smelle identiteit: in ôfstânadres, in FQDN of in sertifikaatûnderwerp. Iets as match identity remote address 198.51.100.10 255.255.255.255 pinnt ien peer fêst, en authentication remote pre-share mei in kaai dy't per lokaasje bewarre wurdt is genôch. Hâld de matching sa spesifyk as it peer-ynventaris talit, om't in oerlaapjend wildcard heger yn 'e karorder filiaalferkear yn it ferkearde profyl lûke kin.

It rûnreizgjende profyl kin gjin adres fêstpinne, dat matcht it in groep, in key-id of in sertifikaatfjild, en jout dan de echte brûkerskontrôle oan AAA of oan it autorisaasjebelied dat oan it profyl hongen is. Dy skieding is wichtich: peer-autentikaasje antwurdzet oft de klant in tunnel bouwe mei, en autorisaasje per brûker antwurdzet hokker pool en hokker boarnen er krijt. De filiaalkaai as universele oanmelding brûke smyt it twadde antwurd fuort.

Trochstjoeren en oersetting hawwe deselde skieding nedich

Tagong en berikberens binne aparte problemen. In suksesfolle IKE- en IPsec-útwikseling bewiist dat de partijen it oer kaaien iens binne; it makket gjin rûte nei de pool dy't de klant krige. Ôfstânstagonpools hawwe dêrom in weromwei nedich, itsij in statyske rûte nei de tunnel-ynterface, itsij in routingprotokol dat de poolgearhing ynjoecht. Filiaalprefiksen komme meastentiids troch itselde routingproses dat de rest fan 'e lokaasje betsjinnet.

Oersetting is dêr't de twa rollen it meast botsaue. Site-oan-site-ferkear dat syn privee-adressen hâlde moat, hat in NAT-útsûndering nedich dy't ta dy twa prefiksen beheind is, yn beide rjochtingen. Rûnreizgjende klanten hawwe meastentiids ek útsûndering foar har ferkear yn 'e tunnel nedich, mar har ynternetrjochte ferkear giet of bôge om 'e tunnel troch split-tunneling, of ferlit by de hub nei NAT. Alles frijstelle wat út in tunnel komt is de klassike flater, om't it ek oersetting fan ferkear ôfnimt dat it wier nedich hat.

Hâld de útsûnderingsregels like smel as de tagongsregels. As in poolgearhing en in filiaalprefiks oerlaapje, wurdt de weromwei lang foardat der in pakket ferlern giet dûbelsinnich, en it symptoom docht him foar as in lokaasje dy't no en dan in subnet ferliest, net as in skjinne tunnelflater.

Akseptaasjefallen dy't in krúst belied bleatlegge

Bou fjouwer gefallen en rin se yn folchoarder. In host yn 'e filiaal berikt in boarne dy't allinne foar de filiaal is. In rûnreizgjende klant berikt deselde boarne fia syn pooladres. In rûnreizgjende klant besiket in filiaalprefiks dat er net oanreitsje mei. In filiaalpeer besiket in adres út 'e ôfstânstagonpool te krijen. De lêste twa binne dy't in dield profyl pakke, om't se yn normale monitoaring stil mislearje.

Befêstigje dan it dataflak ynstee fan 'e konfiguraasje. show crypto ikev2 sa en show crypto ipsec sa fertelle hokker profyl en hokker selektors elke stream droegen, wylst show ip nat translations en de tunneltellers sjen litte oft de weromwei en de útsûndering wier pasten. In tracer of pakketopname op 'e tunnel-ynterface slút de rûnte.

Skriuw de waarnommen identiteit, it pooladres en it keazen belied njonken elk resultaat. De rûn is klear as elk gefal krekt ien record treft en gjin gefal in tydlike útsûndering nedich hat om te slagjen.