વિશાળ IPsec સિલેક્ટર એ દરેક સેવા માટે પરવાનગી નથી

બે પીઅર સંપૂર્ણ સબનેટનું રક્ષણ કરવા સંમત થાય છે, અને કોઈ તે સંમતિને તેની અંદરની દરેક સેવા સુધી પહોંચવાની પરવાનગી તરીકે વાંચે છે. એ જ ભ્રમ છે: સિલેક્ટર કહે છે કે ટનલ કયો ટ્રાફિક વહન કરવા તૈયાર છે, અને સંસ્થા કઈ સેવાઓની પરવાનગી આપે છે તે વિશે તે કંઈ કહેતું નથી. બે ઉપકરણો કાયદેસર રીતે વિશાળ સરનામા શ્રેણી પર સંમતિ કરી શકે છે જ્યારે તેની અંદરની ઍક્સેસ નીતિ બે પોર્ટની પરવાનગી આપે છે, અને બંને વિધાનો એક જ સમયે સાચાં રહે છે.

સુરક્ષિત કવરેજ એ અધિકૃતિ નથી

ટ્રાફિક સિલેક્ટર ટનલ કરારનો એક ભાગ છે. તે પીઅર વચ્ચે શું એન્ક્રિપ્ટ થશે તે સંકુચિત કે પુષ્ટિ કરે છે, અને જ્યારે બંને બાજુએ ઘણા પ્રવાહો વહન કરવાના હોય ત્યારે વિશાળ સિલેક્ટર ચલાવવા માટે ઘણી વાર સૌથી સરળ હોય છે. સેવા ફિલ્ટર રસ્તાના બીજા બિંદુ પરનું બીજું નિયંત્રણ છે, અને પેકેટ ડિક્રિપ્ટ થયા પછી ખરેખર શું વાપરી શકાય તે નક્કી કરે છે. એક પરીક્ષણ પાસ થાય તે માટે ફિલ્ટર દૂર કરવું એ નીતિ-નિર્ણયને અકસ્માતમાં ફેરવવું છે.

ડિઝાઇન દસ્તાવેજમાં બે રેકોર્ડ અલગ રાખો, કારણ કે જે માત્ર સિલેક્ટર જુએ છે તે ક્યારેય ન આપેલી અધિકૃતિ ધારી લેશે. ફેરફાર રેકોર્ડમાં બે લીટીઓ તેને અટકાવે છે, અને પછીની દલીલ કરતાં ઓછો સમય લે છે.

બંને છેડેથી એક પ્રવાહનું વર્ણન કરો

શરૂ કરનાર, જવાબ આપનાર, જેમ રજૂ થાય તેમ સ્રોત અને લક્ષ્ય, પ્રોટોકોલ અને બંને પોર્ટ લખો. પછી બીજા છેડા માટે આ દરેક લેબલ ઉલટાવો, કારણ કે ક્લાયન્ટનો ક્ષણિક સ્રોત પોર્ટ જવાબનો લક્ષ્ય પોર્ટ બને છે અને દૂરનું નેટવર્ક સ્થાનિક બને છે. તે ઉલટાવ વિના એક બાજુથી બીજી બાજુ કોપી કરેલી ગોઠવણી એ જ કારણ છે કે ફિલ્ટર અંતે બરાબર ખોટી દિશાને પરવાનગી આપે છે. કોષ્ટક એક વાર લખો અને તેમાંથી બંને ફિલ્ટર બનાવો.

કંઈપણ કોપી કરતા પહેલાં પસંદગી મોડેલ પર સંમત થાઓ, કારણ કે નીતિ-આધારિત ડિઝાઇન અને માર્ગ-આધારિત ડિઝાઇન એક જ ઉદ્દેશને જુદા જુદા ઑબ્જેક્ટ દ્વારા વ્યક્ત કરે છે. પ્રવાહની બાજુમાં મોડેલનું નામ લખો, નહીં તો આગળનો એન્જિનિયર એવા ઑબ્જેક્ટ મેળવવામાં બપોર પસાર કરશે જે ક્યારેય તુલનાત્મક ન હતા.

ખરેખર લાગુ પડતું ફિલ્ટર શોધો

ASA પર, VPN ફિલ્ટર એ ACL છે જે જૂથ નીતિ સાથે જોડાયેલ છે અને ડિક્રિપ્શન પછીની અને એન્ક્રિપ્શન પહેલાંની ટ્રાફિક પર લાગુ થાય છે. Cisco ના જૂથ-નીતિ દસ્તાવેજીકરણમાં વારસાગતતા પણ વર્ણવેલ છે, જેમાં વપરાશકર્તા-સ્તરનું મૂલ્ય છે જે જૂથ નીતિના મૂલ્યને બદલે છે. તેથી તમે સંપાદિત કરેલ ACL એ તમારી સામેનું સત્ર સંભાળતું ACL ન પણ હોય. આ જ વપરાશકર્તા ઑબ્જેક્ટ માટે સાચું છે, જે ઘણા દૃશ્યમાન પુરાવા છોડ્યા વિના જૂથને પાછળ પાડી શકે છે.

તમે બદલ્યું હોવાનું યાદ રહેલ ઑબ્જેક્ટને બદલે અસરકારક સત્રની તપાસ કરો, અને કયું નીતિ-ઑબ્જેક્ટ તે પૂરું પાડે છે તે નોંધો. એ એક જ પગલું ફિલ્ટર સાચું છે પણ કામ કરતું નથી પ્રકારના આશ્ચર્યજનક ઘણા અહેવાલો ઉકેલે છે.

દિશા, પોર્ટ અને વિપરીત કેસ

દસ્તાવેજીકૃત પ્રથા દૂરના નેટવર્કને, અથવા ફાળવેલા દૂરસ્થ ક્લાયન્ટ સરનામાંઓને, સ્રોતની સ્થિતિમાં અને સ્થાનિક નેટવર્કને લક્ષ્યની સ્થિતિમાં મૂકે છે, જવાબો સરનામાની સ્થિતિ બદલીને વ્યક્ત થાય છે. પોર્ટના નિયમો આ પ્રથા ઉપર બેસે છે અને સરનામાં કરતાં વધુ કાળજી માંગે છે.

દસ્તાવેજીકૃત મોડેલ લક્ષ્ય-પોર્ટ નિયમને એ જ સ્રોત પોર્ટ વાપરતી વિપરીત શરૂઆત પર અસર કરવા દે છે, જેનો અર્થ છે કે ફિલ્ટર માત્ર નિરુપદ્રવ જવાબો સાથેનો એકમાર્ગી વિનંતી-નિયમ નથી. શરૂઆતની બંને દિશાઓ વિશે સ્પષ્ટ વિચાર કરો, અને જે કેસ નકારવા માંગો છો તે પણ સામેલ કરો.

એ જ દસ્તાવેજીકરણ ફિલ્ટરને પ્રારંભિક જોડાણો સુધી મર્યાદિત કરે છે, તેથી તે નિરીક્ષિત એપ્લિકેશન ખોલે છે તે દરેક ગૌણ ચેનલનું સાર્વત્રિક અમલીકરણ નથી. જ્યાં સંપૂર્ણ નીતિને તે કવરેજની જરૂર હોય, તે અલગ સીમા પર આવે છે, પોતાના હેતુથી આગળ ખેંચાયેલા ACL માં નહીં.

પૂર્ણ કહેતા પહેલાં ત્રણ કેસ ચકાસો

ઇચ્છિત પ્રવાહ સ્વીકારો, નીતિ જે સેવા પર પ્રતિબંધ મૂકે છે તે નકારો, અને તમે જે વિપરીત-દિશાના કેસ વિશે વિચાર્યું તેનો અભ્યાસ કરો. મંજૂર યોજના હેઠળ એ જ ઓળખ અને સિલેક્ટર સાથે તેમને ચલાવો જે તમે તૈનાત કરશો. જે પરીક્ષણ ફક્ત મંજૂર સેવા કામ કરે છે તે બતાવે છે, તે ટનલ સાબિત કરે છે, નીતિ નહીં.

સંમત કવરેજ અને ઍક્સેસ નિર્ણયને બે રેકોર્ડ તરીકે રાખો, કારણ કે VPN શું પરવાનગી આપે છે તે સમજાવવા બંને જરૂરી છે.