Kiszolgálhat egyetlen WAN-interfész helyszínek közötti és távoli VPN-t is?

Egyetlen nyilvános cím egyszerre szolgálhat ki egy fióki alagutat és egy barangoló felhasználói készletet. Egy közös beengedési szabályt azonban nem tud kiszolgálni. A fiók partnere és a barangoló felhasználó különbözik abban, kinek mondják magukat, hogyan ellenőrzik ezt a bizonyítékot, milyen címeket kapnak, és mely előtagok válaszolhatnak nekik. Amint a külső címet szállítási részletként kezeli, és nem identitásként, a tervezés sokkal egyszerűbbé válik.

Gyors józanész-teszt: próbálja megírni mindkét beengedési rekordot, mielőtt hozzányúlna az útválasztóhoz. Ha egyetlen illesztési feltételnek kell lefednie mindkettőt, a házirend már most kétértelmű, és az első tünet útválasztási vagy tűzfalhibának fog látszani, holott valójában identitáshiba.

Két rekord minden konfiguráció előtt

A fióki rekord rövid és stabil. Felsorolja a partner címét vagy a tanúsítvány nevét, az előre megosztott kulcsot vagy a tanúsítvány megbízhatósági pontját, mindkét oldal védett alhálózatait, az alagút interfészét és azt a statikus útvonalat, amely a fiók felé irányuló forgalmat ebbe az alagútba küldi. Minden mező egy ismert partnerhez és rögzített előtagkészlethez tartozik.

A barangoló rekord szélesebb és személyesebb. Felsorolja az ügyfélprotokollt és a portot, hogyan hitelesíti magát egy felhasználó vagy eszköz, a csatlakozáskor kiadott címkészletet, azokat az erőforrásokat, amelyeket ez a készlet elérhet, a megosztott alagút előtagjait, az ügyfélnek küldött DNS-kiszolgálókat és bármilyen második tényezőt. Minden mező ismeretlen számú felhasználóról szóló kérdésre válaszol, nem egyetlen átjáróra.

Ez a részletességbeli különbség a teljes oka annak, hogy a két szerep szétválik. A fióki profil nyugodtan bízhat egyetlen kulcsban, mert a kulcs egy helyszín egyetlen eszközéhez tartozik. A barangoló profil, amely mindenki számára egyetlen csoportkulcsban bízik, lerombolja a felhasználónkénti elszámoltathatóságot, ami általában később derül ki, egy incidens utólagos áttekintésekor, nem a bevezetéskor.

Hol válik szét a partnerillesztés és a hitelesítés

Az IOS XE-n az IKEv2-profil hordozza a nem tárgyalható paramétereket és a partner kiválasztásához használt feltételeket. Ez azt jelenti, hogy a fióki oldalnak és a barangoló oldalnak külön profilra van szüksége, még akkor is, ha ugyanazon az interfészen végződnek, és még akkor is, ha egy közös kriptográfiai PKI-t osztanak meg. A Cisco a profil, a hitelesítés és az illesztés szerepét a saját IKEv2-konfigurációs útmutatójában írja le az IOS XE 17-hez.

A fióki profil általában szűk identitásra illeszkedik: távoli címre, FQDN-re vagy tanúsítvány-tárgyra. Valami olyasmi, mint a match identity remote address 198.51.100.10 255.255.255.255, egy partnert rögzít, és a authentication remote pre-share a helyszínenként tárolt kulccsal elegendő. Tartsa az illesztést olyan pontosnak, amilyet a partnerleltár enged, mert a kiválasztási sorrendben feljebb lévő átfedő helyettesítő karakter a fiók forgalmát a rossz profilba húzhatja.

A barangoló profil nem tud címet rögzíteni, ezért csoportra, key-id-re vagy tanúsítvány-mezőre illeszkedik, majd az igazi felhasználó-ellenőrzést átadja az AAA-nak vagy a profilhoz kapcsolt engedélyezési házirendnek. Ez a szétválasztás számít: a partner hitelesítése azt válaszolja meg, építhet-e az ügyfél alagutat, a felhasználónkénti engedélyezés pedig azt, melyik készletet és milyen erőforrásokat kap. Ha a fióki kulcsot univerzális bejelentkezésként használja, a második választ dobja el.

A továbbításnak és a fordításnak is ugyanez a szétválasztás kell

A beengedés és az elérhetőség külön problémák. Egy sikeres IKE- és IPsec-csere azt bizonyítja, hogy a felek egyetértenek a kulcsokban; nem hoz létre útvonalat ahhoz a készlethez, amelyet az ügyfél kapott. Ezért a távoli hozzáférési készleteknek visszatérő útra van szükségük: vagy az alagút interfészére mutató statikus útvonalra, vagy olyan útválasztási protokollra, amely befecskendezi a készlet összegzését. A fióki előtagok általában ugyanazon az útválasztási folyamaton keresztül érkeznek, amely a helyszín többi részét kiszolgálja.

A fordítás az a pont, ahol a két szerep leggyakrabban ütközik. A helyszínek közötti forgalomnak, amelynek meg kell tartania a privát címeit, NAT-mentességre van szüksége, amely erre a két előtagra korlátozódik, mindkét irányban. A barangoló ügyfeleknek általában az alagúton belüli forgalmukra is mentesség kell, de az internet felé irányuló forgalmuk vagy megkerüli az alagutat a megosztott alagúttal, vagy NAT után a központban lép ki. Mindent mentesíteni, ami alagútból érkezik, klasszikus hiba, mert olyan forgalomtól is elveszi a fordítást, amelynek valóban szüksége van rá.

Tartsa a mentességi szabályokat olyan szűknek, mint a beengedési szabályokat. Ha egy készlet-összegzés és egy fióki előtag átfed, a visszatérő út jóval azelőtt kétértelművé válik, hogy bármelyik csomag elutasításra kerülne, és a tünet egy helyszínként jelenik meg, amely időnként elveszít egy alhálózatot, nem pedig tiszta alagúthibaként.

Átvételi esetek, amelyek leleplezik a keresztezett házirendet

Építsen négy esetet, és futtassa őket sorrendben. A fiók egyik gazdagépe elér egy csak fióki erőforrást. Egy barangoló ügyfél ugyanazt az erőforrást éri el a készletéből kapott címen. Egy barangoló ügyfél olyan fióki előtagot próbál, amelyhez nem kellene nyúlnia. A fiók partnere megpróbál címet szerezni a távoli hozzáférési készletből. Az utolsó kettő az, amely elkapa közös profilt, mert a szokásos monitorozásban csendben meghiúsulnak.

Ezután az adatsíkot igazolja, ne a konfigurációt. A show crypto ikev2 sa és a show crypto ipsec sa megmondja, melyik profil és mely szelektorok vitték az egyes folyamokat, míg a show ip nat translations és az alagútszámlálók megmutatják, hogy a visszatérő út és a mentesség valóban egyezett-e. Egy tracer vagy csomagbefogás az alagút interfészén zárja a hurkot.

Írja fel a megfigyelt identitást, a készletből kapott címet és a választott házirendet minden eredmény mellé. A futás akkor kész, ha minden eset pontosan egy rekordra képződik le, és egyetlen esetnek sem kell ideiglenes kivétel a sikerhez.