בורר IPsec רחב אינו הרשאה לכל שירות

שני עמיתים מסכימים להגן על תת-רשת שלמה, ומישהו קורא את ההסכמה הזו כהרשאה להגיע לכל שירות שבתוכה. זה המיתוס: הבורר אומר איזו תעבורה המנהרה מוכנה לשאת, והוא אינו אומר דבר על אילו שירותים הארגון מתיר. שני התקנים יכולים לנהל משא ומתן לגיטימי על טווח כתובות רחב בזמן שמדיניות הגישה שבתוכו מתירה שני פורטים, ושתי האמירות נשארות נכונות בעת ובעונה אחת.

כיסוי מוגן אינו הרשאה

בורר תעבורה הוא חלק מהסכם המנהרה. הוא מצמצם או מאשר מה העמיתים יצפינו ביניהם, ובורר רחב הוא לעיתים קרובות הדבר הפשוט ביותר לתפעול כששני הצדדים צריכים לשאת זרימות רבות. מסנן השירותים הוא בקרה אחרת בנקודה אחרת בנתיב, והוא מחליט מה באמת מותר לשימוש לאחר פענוח החבילה. הסרת המסנן כדי שבדיקה אחת תעבור הופכת החלטת מדיניות לתאונה.

שמרו את שתי הרשומות בנפרד במסמך התכנון, כי קורא שרואה רק את הבורר יסיק הרשאה שמעולם לא ניתנה. שתי שורות ברשומת שינוי מונעות זאת, והן גובות פחות זמן מהוויכוח שבא אחר כך.

תארו זרימה אחת משני הקצוות

רשמו את היוזם, המגיב, המקור והיעד כפי שהם מוצגים, את הפרוטוקול ואת שני הפורטים. אחר כך הפכו כל אחת מהתוויות הללו עבור הקצה השני, כי פורט המקור הזמני של לקוח הופך לפורט היעד של תגובה והרשת המרוחקת הופכת למקומית. תצורה שמועתקת מצד אחד לשני בלי היפוך כזה היא הדרך שבה מסננים בסופו של דבר מתירים בדיוק את הכיוון הלא נכון. כתבו את הטבלה פעם אחת ובנו ממנה את שני המסננים.

הסכימו על מודל הבחירה לפני שמעתיקים משהו, כי תכנון מבוסס מדיניות ותכנון מבוסס נתיב מבטאים את אותה כוונה באמצעות אובייקטים שונים. כתבו את שם המודל לצד הזרימה, אחרת המהנדס הבא יבזבז אחר צהריים על התאמת אובייקטים שמעולם לא היו ניתנים להשוואה.

מצאו את המסנן שבאמת חל

ב-ASA, מסנן ה-VPN הוא ACL שמחובר למדיניות קבוצה ומוחל על תעבורה לאחר פענוח ולפני הצפנה. התיעוד של Cisco למדיניות קבוצה מתאר גם ירושה, כולל ערך ברמת משתמש שגובר על ערך מדיניות הקבוצה. לכן ייתכן שה-ACL שערכתם אינו ה-ACL שמנהל את הפגישה שלפניכם. הדבר נכון גם לאובייקט המשתמש, שיכול לגבור על הקבוצה בלי להשאיר הרבה עקבות גלויים.

בדקו את הפגישה האפקטיבית ולא את האובייקט שאתם זוכרים ששיניתם, ורשמו איזה אובייקט מדיניות מספק אותה. הצעד האחד הזה פותר מספר מפתיע של דוחות מהסוג המסנן נכון אבל הוא לא עובד.

כיוון, פורטים והמקרה ההפוך

המוסכמה המתועדת מציבה את הרשת המרוחקת, או את הכתובות שהוקצו ללקוחות מרוחקים, בעמדת המקור ואת הרשת המקומית בעמדת היעד, כאשר תגובות מבוטאות בהחלפת עמדות הכתובות. כללי פורטים יושבים מעל המוסכמה הזו ומגיע להם יותר טיפול מאשר לכתובות.

המודל המתועד יכול לאפשר לכלל פורט יעד להשפיע על ייזום הפוך שמשתמש באותו פורט מקור, כלומר המסנן אינו פשוט כלל בקשה חד-כיווני עם תגובות בלתי מזיקות. חשבו במפורש את שני כיווני הייזום, וכללו את המקרה שאתם מתכוונים לחסום.

אותו תיעוד מגביל את המסנן לחיבורים ראשוניים, כך שהוא אינו אכיפה אוניברסלית של כל ערוץ משני שאפליקציה נבדקת פותחת. במקום שבו המדיניות המלאה זקוקה לכיסוי הזה, הוא שייך לגבול נפרד ולא ל-ACL שנמתח מעבר לייעודו.

בדקו שלושה מקרים לפני שאתם מכריזים שזה נגמר

קבלו את הזרימה המיועדת, סרבו לשירות שהמדיניות אוסרת, ותרגלו את מקרה הכיוון ההפוך שחשבתם עליו. הריצו אותם תחת תוכנית מאושרת עם אותן זהויות ובוררים שתפרסו. בדיקה שמראה רק שהשירות המותר עובד מוכיחה את המנהרה, לא את המדיניות.

שמרו את הכיסוי שנקבע בהתמקחות ואת החלטת הגישה כשתי רשומות, כי הסבר מה VPN מתיר מחייב את שתיהן.