Wat te registrearjen foar in VPN fan site nei site: selektors en berik

Seis moanne nei't in tunnel yn gebrûk naam is, hâldt in nij subnet op mei oerien te kommen mei it belied en it iennichste dokumint op 'e dielde map seit kantoar-VPN. Dat is de flater dy't in selektorsregistraasje foarkomt, en hy is konkreet: in set adressen feroare wylst it papierwurk net feroare. It registraasje goed skriuwe betsjut witte hokker fan ferskate adressets jo beskriuwe, en dy registrearje dy't de oare kant eins hanthavent, net dy't jo konfigurearre hawwe.

Konfigurearre is net ûnderhannele

Yn in beliedsbasearre IPsec-tunnel stelt elke kant ferkiersselektors foar: boarne- en bestimmingsberikken foar de berne-assosjaasje. De antwurdzjende kant mei dat foarstel ferkenne , sadat de ynstallearre assosjaasje minder dekke kin as de konfiguraasje opneamt. In registraasje dy't de konfiguraasje kopiearret, beskriuwt dêrom in bedoeling, net it hjoeddeiske beskermingsberik. De twa ferdwine stilwei fan elkoar, en neat op 'e statuspagina fan 'e tunnel wiist dêrop.

Hâld beide kolommen, mei de datum wêrop't jo se waarnommen hawwe. De konfigurearre selektor is wat jo bedoelden; de ûnderhannele is wat de kernel no krekt hanthavent. As se ferskille, ferklearret dat ferskil in ferrasende flater folle faker as in routeringsflater.

Ien assosjaasje fertsjintwurdiget ek net elk konfigurearre pear. In tunnel mei ferskate selektorkombinaasjes kin op ferskate berne-assosjaasjes útrinne, en in registraasje dy't ien fan har opneamt is in partiel ynventaris. Neech se op ynstee fan se gear te fetsjen.

Rûtebasearre tunnels selektearje oars

Mei in rûtebasearre ynterface beslút de routeringstabel wat de tunnel yn giet en de selektors kinne mei opsetsin breed wêze. Dat is in legitym ûntwerp en gjin sleur, en de registraasje moat it as sadanich beskriuwe. Skriuw de rûte op, de ynterface dêr't se nei wiist, en it firewallbelied dat beheint hokker tsjinsten berikber binne. It beskermingsberik is mei opsetsin breed, en it tsjinstberik docht it ferkennen.

It kopiearjen fan in beliedsbasearre sjabloan op in rûtebasearre tunnel leveret in dokumint dat in meganisme beskriuwt dat de útrôl neat brûkt. De folgjende yngenieur siket dan nei selektors dy't der nea wêze moatten hiene, en konkludearret dat de tunnel ferkeard konfigurearre is, wylst er allinnich min dokumintearre is.

Oersetting heart yn deselde tabel

As NAT in oar berik oan 'e oare kant presintearret, registrearje de oarspronklike en oersette prefiksen tegearre. Merk de stap op wêrop't selektors en tagongsregels se oerienkomme litte, want de folchoarder beslút oft de fiere kant ea it adres sjocht dat jo opskreaun hawwe. In tabel mei mar ien fan 'e twa berikken is slimmer as gjin tabel, om't er folslein liket.

Dit is it detail dat in wurkjende tunnel nei in NAT-wiziging brekt: de selektor komt noch oerien mei it oarspronklike prefiks, de oare kant krijt no in oerset ien, en syn weromrûte wiist nei in adres dat net mear bestiet. Neat logt in flater op it stuit dat de twa ophâlde oerien te kommen.

Privee DNS heart op deselde plak. In namme dy't nei in adres oplost dat fan 'e oangeande site ôf net brûkber is, is in dokumintaasjeflater mei in stipekaart deroan fêst, en it sil de tunnel ferwiten wurde.

Heech it tsjinstferlet deroan

In beskerme berik is gjin tastimmingslist. Skriuw op hokker tsjinsten fan hokker boarne ôf berikber wêze moatte, en wa't it eigendom hat fan 'e applikaasje dêrefter. Dy twa fjilden beäntwurdzje ferskate fragen, en se trochinoar helje is hoe't in feilichheidsresinsje úteinlik oer routering ynstee oer tagong diskusjearret.

Neech dan de netwurkbehearder op dy't de regel ûnderhâldt. In selektorsynventaris sûnder eigner ferâldet stilwei, en ferâldere is net te ûnderskieden fan ferkeard as de tunnel om twa oere nachts brekt. De eigner is ek de persoan dy't befêstigje kin dat in wiziging mei opsetsin wie.

Meitsje de registraasje ta in testplan

Kies foar elk fereaske paad in represintative boarne- en bestimmingshost en merk de ferwachte rûte, tsjinst en antwurdgateway op. Dat makket it dokumint ta in testplan ynstee fan in beskriuwing. Lês de libbene assosjaasje mei it kommando hjirûnder, en fergelykje dy mei de ûnderhannele rige dy't jo opskreaun hawwe.

swanctl --list-sas

In skelet fan fiif rigels is meastentiids genôch om de registraasje earlik te hâlden. De ferzje hjirûnder past sûnder ôfbrekken yn in wizigingskaart:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

In ping allinnich nei de gateway is de akseptaasjetest net. Hy oefenet nea it trochgongspaad, sadat er slagje kin wylst elke trochstjoerde stream mist. Test fan in host oan 'e iene kant nei in tsjinst oan 'e oare kant en befêstigje dat it antwurd troch de tunnel oankomt. As allinnich de ping slagget, hat de registraasje krekt it trochstjoerprobleem fûn dat er foarkomme moast. strongSwan-dokumintaasje oer trochstjoeren ferklearret hoe't selektors, rûtes en trochstjoeren op in Linux-kant opinoar ynwurkje.