Široki IPsec selektor nije ovlast za svaku uslugu

Dvije strane dogovore štititi cijelu podmrežu, a netko taj dogovor čita kao dopuštenje za pristup svakoj usluzi unutar nje. To je mit: selektor kaže koji je promet tunel spreman prenositi i ne govori ništa o tome koje usluge organizacija dopušta. Dva uređaja mogu legitimno pregovarati o širokom rasponu adresa dok pristupna politika unutar njega dopušta dva porta, i obje tvrdnje ostaju točne istovremeno.

Zaštićeno pokriće nije ovlaštenje

Selektor prometa dio je sporazuma o tunelu. Sužava ili potvrđuje što će partneri kriptirati međusobno, a široki je selektor često najjednostavniji za upravljanje kad obje strane imaju mnogo tokova za prijenos. Filter usluga druga je kontrola na drugom mjestu u putu i odlučuje što se doista smije koristiti nakon dešifriranja paketa. Uklanjanje filtra kako bi jedan test prošao pretvara odluku politike u nesreću.

Držite dva zapisa odvojeno u projektnom dokumentu jer će čitatelj koji vidi samo selektor zaključiti da postoji ovlaštenje koje nikada nije dano. Dva retka u zapisu o promjeni to sprječavaju i traju kraće od rasprave koja slijedi.

Opišite jedan tok s obaju krajeva

Zapišite inicijatora, odgovarača, izvor i odredište kako su predstavljeni, protokol i oba porta. Zatim obrnite svaku od tih oznaka za drugi kraj jer efemerni izvorni port klijenta postaje odredišni port odgovora, a udaljena mreža postaje lokalna. Konfiguracija kopirana s jedne strane na drugu bez tog obrtanja način je na koji filteri naposljetku dopuštaju točno pogrešan smjer. Napišite tablicu jednom i izgradite oba filtera iz nje.

Dogovorite model odabira prije nego što bilo što kopirate jer dizajn zasnovan na politici i dizajn zasnovan na ruti izražavaju istu namjeru kroz različite objekte. Upišite ime modela uz tok, inače će sljedeći inženjer provesti poslijepodne uparujući objekte koji nikada nisu bili usporedivi.

Nađite filter koji se doista primjenjuje

Na ASA-i je VPN filter ACL vezan uz grupnu politiku i primijenjen na promet nakon dešifriranja i prije kriptiranja. Cisco dokumentacija o grupnoj politici opisuje i nasljeđivanje, uključujući vrijednost na razini korisnika koja zamjenjuje vrijednost grupne politike. Zato ACL koji ste uredili možda nije ACL koji upravlja sesijom pred vama. Isto vrijedi za korisnički objekt koji može nadjačati grupu bez mnogo vidljivih tragova.

Pregledajte stvarnu sesiju umjesto objekta za koji se sjećate da ste ga mijenjali i zabilježite koji je objekt politike daje. Taj jedan korak rješava iznenađujuće mnogo izvještaja tipa filter je ispravan ali ne radi.

Smjer, portovi i obrnuti slučaj

Dokumentirana konvencija stavlja udaljenu mrežu ili dodijeljene adrese udaljenih klijenata na mjesto izvora, a lokalnu mrežu na mjesto odredišta, pri čemu se odgovori izražavaju zamjenom mjesta adresa. Pravila portova stoje iznad te konvencije i zaslužuju više pažnje od adresa.

Dokumentirani model može dopustiti da pravilo odredišnog porta utječe na obrnuto pokretanje koje koristi taj isti izvorni port, što znači da filter nije samo jednosmjerno pravilo zahtjeva s bezopasnim odgovorima. Promislite izričito oba smjera pokretanja i uključite slučaj koji namjeravate odbiti.

Ista dokumentacija ograničava filter na početne veze pa on nije univerzalna provedba svakog sekundarnog kanala koji pregledana aplikacija otvori. Gdje cjelovitoj politici treba takvo pokriće, ono pripada zasebnoj granici, a ne ACL-u koji se rasteže preko svoje svrhe.

Testirajte tri slučaja prije nego što to proglasite gotovim

Prihvatite predviđeni tok, odbijte uslugu koju politika zabranjuje i vježbajte obrnuti slučaj o kojem ste razmišljali. Pokrenite ih prema odobrenom planu s istim identitetima i selektorima koje ćete uvesti. Test koji pokazuje samo da dopuštena usluga radi dokazuje tunel, a ne politiku.

Držite dogovoreno pokriće i odluku o pristupu kao dva zapisa jer objašnjenje što VPN dopušta zahtijeva oba.