Što zabilježiti za VPN između lokacija: selektori i opseg

Šest mjeseci nakon što je tunel pušten u rad, nova podmreža prestaje da se poklapa sa politikom, a jedini dokument na dijeljenom disku kaže kancelarijski VPN. To je kvar koji zapis selektora sprečava, i on je konkretan: skup adresa se promijenio dok papiri nisu. Ispravno napisati zapis znači znati koji od nekoliko skupova adresa opisujete, i zabilježiti onaj koji druga strana zaista primjenjuje, a ne onaj koji ste konfigurisali.

Konfigurisano nije pregovarano

U IPsec tunelu zasnovanom na politici svaka strana predlaže selektore saobraćaja: raspone izvora i odredišta za podređenu asocijaciju. Druga strana smije suziti taj predlog , pa instalirana asocijacija može pokrivati manje nego što konfiguracija navodi. Zapis koji kopira konfiguraciju zato opisuje namjeru, a ne trenutni obim zaštite. Njih dvoje se tiho razilaze, i ništa na stranici sa statusom tunela to ne pokazuje.

Zadržite obje kolone, uz datum kada ste ih posmatrali. Konfigurisani selektor je ono što ste mislili; pregovarani je ono što jezgro trenutno primjenjuje. Kada se razlikuju, ta razlika objašnjava neočekivani kvar mnogo češće nego greška u rutiranju.

Jedna asocijacija takođe ne predstavlja svaki konfigurisani par. Tunel sa nekoliko kombinacija selektora može završiti sa nekoliko podređenih asocijacija, a zapis koji navodi samo jednu od njih je djelimičan popis. Popišite ih umjesto da ih sažimate.

Tuneli zasnovani na ruti biraju drugačije

Sa interfejsom zasnovanim na ruti, tabela rutiranja odlučuje šta ulazi u tunel i selektori mogu biti namjerno široki. To je legitiman dizajn, a ne nemar, i zapis to mora tako opisati. Zapišite rutu, interfejs na koji pokazuje i politiku zaštitnog zida koja ograničava koje su usluge dostupne. Obim zaštite je namjerno širok, a obim usluga vrši sužavanje.

Kopiranje šablona zasnovanog na politici na tunel zasnovan na ruti daje dokument koji opisuje mehanizam koji implementacija ne koristi. Sljedeći inženjer onda traži selektore koji nikada nisu trebali biti tu, i zaključuje da je tunel pogrešno konfigurisan, a samo je loše dokumentovan.

Prijevod pripada u istu tabelu

Kada NAT drugoj strani predstavi drugačiji raspon, zabilježite originalne i prevedene prefikse zajedno. Zabilježite fazu u kojoj ih selektori i pravila pristupa upoređuju, jer redoslijed odlučuje da li će udaljena strana ikada vidjeti adresu koju ste zapisali. Tabela sa samo jednim od dva raspona gora je od nikakve tabele, jer izgleda potpuna.

To je detalj koji slomi ispravan tunel nakon promjene NAT-a: selektor se još poklapa sa originalnim prefiksom, druga strana sada prima prevedeni, a njena povratna ruta pokazuje na adresu koja više ne postoji. Ništa ne bilježi grešku u trenutku kada se njih dvoje prestanu slagati.

Privatni DNS pripada na isto mjesto. Ime koje se razrješava u adresu neupotrebljivu sa dotične lokacije je greška u dokumentaciji sa priloženim tiketom za podršku, i biće okrivljen tunel.

Priložite zahtjev za uslugu

Zaštićeni raspon nije lista dozvola. Zapišite koje usluge treba da budu dostupne sa kojeg izvora i ko posjeduje aplikaciju iza njih. Ta dva polja odgovaraju na različita pitanja, a njihovo miješanje je način na koji sigurnosna provjera završi raspravom o rutiranju umjesto o pristupu.

Zatim navedite mrežnog administratora koji održava pravilo. Popis selektora bez vlasnika tiho zastarijeva, a zastarjelo se ne razlikuje od pogrešnog kada se tunel pokvari u dva sata ujutro. Vlasnik je i osoba koja može potvrditi da je promjena bila namjerna.

Pretvorite zapis u plan testiranja

Za svaku potrebnu putanju izaberite reprezentativnog izvornog i odredišnog domaćina i zabilježite očekivanu rutu, uslugu i izlazni prolaz odgovora. To pretvara dokument u plan testiranja, a ne u opis. Pročitajte živu asocijaciju komandom ispod i uporedite je sa pregovaranim redom koji ste zapisali.

swanctl --list-sas

Skelet od pet redova obično je dovoljan da zapis ostane iskren. Verzija ispod staje u tiket za promjenu bez skraćivanja:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping samo do prolaza nije prijemni test. On nikada ne vježba tranzitnu putanju, pa može proći dok svaki proslijeđeni tok pada. Testirajte sa domaćina na jednoj strani na uslugu na drugoj i potvrdite da odgovor stiže kroz tunel. Ako prolazi samo ping, zapis je upravo pronašao problem prosljeđivanja zbog kojeg je napisan. strongSwan dokumentacija o prosljeđivanju objašnjava kako selektori, rute i prosljeđivanje međusobno djeluju na Linux strani.