Mit kell rögzíteni a telephelyek közötti VPN-hez: szelektorok és hatókör

Hat hónappal egy alagút üzembe helyezése után egy új alhálózat már nem felel meg a szabályzatnak, és az egyetlen megosztott dokumentum annyit mond: irodai VPN. Ez az a hiba, amelyet a szelektorrekord megelőz, és pontosan az: címkészlet változott meg, miközben a papírok nem. A rekord helyes megírása azt jelenti, hogy tudjuk, több címkészlet közül melyiket írjuk le, és azt rögzítjük, amelyet a másik fél ténylegesen kényszerít, nem pedig azt, amelyet beállítottunk.

A beállított nem egyeztetett

Egy szabályzatalapú IPsec-alagútban mindkét fél forgalomszelektorokat javasol: forrás- és céltartományokat a gyermektársításhoz. A válaszoló fél szűkítheti ezt a javaslatot , ezért a telepített társítás kevesebbet fedhet le, mint amit a konfiguráció felsorol. A konfigurációt másoló rekord tehát szándékot ír le, nem a jelenlegi védelmi hatókört. A kettő csendesen eltér, és az alagút állapotoldalán semmi sem mutat rá.

Tartsa meg mindkét oszlopot a megfigyelés dátumával. A beállított szelektor az, amit szándékolt; az egyeztetett az, amit a kernel éppen kényszerít. Amikor eltérnek, ez a különbség sokkal gyakrabban magyaráz meglepő hibát, mint egy útválasztási hiba.

Egy társítás sem képvisel minden beállított párt. Egy több szelektor-kombinációjú alagút több gyermektársítással végződhet, és a rekord, amely ezek közül egyet felsorol, részleges leltár. Sorolja fel őket ahelyett, hogy összefoglalná.

Az útvonalalapú alagutak másként választanak

Útvonalalapú interfész esetén az útválasztási tábla dönti el, mi lép be az alagútba, és a szelektorok szándékosan szélesek lehetnek. Ez legitim tervezés, nem hanyagság, és a rekordnak így kell leírnia. Írja le az útvonalat, az interfészt, amelyre mutat, és a tűzfal-szabályzatot, amely korlátozza, mely szolgáltatások érhetők el. A védelmi hatókör szándékosan széles, és a szűkítést a szolgáltatási hatókör végzi.

Egy szabályzatalapú sablon átmásolása egy útvonalalapú alagútra olyan dokumentumot eredményez, amely olyan mechanizmust ír le, amelyet a telepítés nem használ. A következő mérnök olyan szelektorokat keres, amelyeknek soha nem lett volna szabad ott lenniük, és arra jut, hogy az alagút hibásan van beállítva, amikor csak rosszul van dokumentálva.

A fordítás ugyanabba a táblába tartozik

Amikor a NAT más tartományt mutat a másik félnek, rögzítse együtt az eredeti és a lefordított előtagokat. Jegyezze fel azt a szakaszt, ahol a szelektorok és a hozzáférési szabályok őket egyeztetik, mert a sorrend dönti el, hogy a távoli fél egyáltalán látja-e a leírt címet. Egy tábla, amelyben csak a két tartomány egyike szerepel, rosszabb, mint a tábla hiánya, mert teljesnek látszik.

Ez az a részlet, amely NAT-változás után eltöri a működő alagutat: a szelektor még mindig az eredeti előtaghoz illeszkedik, a másik fél most lefordítottat kap, és a visszaútja olyan címre mutat, amely már nem létezik. Semmi sem naplóz hibát abban a pillanatban, amikor a kettő megszűnik egyezni.

A privát DNS ugyanoda tartozik. Az a név, amely a kérdéses telephelyről használhatatlan címre oldódik fel, dokumentációs hiba támogatási jeggyel mellékelve, és az alagutat fogják hibáztatni.

Csatolja a szolgáltatási követelményt

A védett tartomány nem engedélylista. Írja le, mely szolgáltatások mely forrásból érhetők el, és kié a mögöttük lévő alkalmazás. Ez a két mező különböző kérdésekre válaszol, és összekeverésük az az út, amelyen egy biztonsági átvizsgálás végül a hozzáférés helyett az útválasztásról vitatkozik.

Utána nevezze meg a szabályt karbantartó hálózati adminisztrátort. A tulajdonos nélküli szelektorleltár csendesen elavul, és az elavultat nem lehet megkülönböztetni a hibástól, amikor az alagút hajnali kettőkor elszakad. A tulajdonos az a személy is, aki megerősítheti, hogy egy változtatás szándékos volt.

Alakítsa a rekordot teszttervvé

Minden szükséges útvonalhoz válasszon egy reprezentatív forrás- és célgazdagépet, és jegyezze fel a várt útvonalat, szolgáltatást és válaszátjárót. Ez a dokumentumot leírás helyett teszttervvé teszi. Olvassa vissza az élő társítást az alábbi paranccsal, és hasonlítsa össze a feljegyzett egyeztetett sorral.

swanctl --list-sas

Öt sorból álló vázlat általában elég ahhoz, hogy a rekord őszinte maradjon. Az alábbi változat csonkítás nélkül befér egy változtatási jegybe:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

A csak átjáróra irányuló ping nem elfogadási teszt. Soha nem gyakorolja az átmenő útvonalat, így átmehet, miközben minden továbbított folyam meghiúsul. Teszteljen az egyik oldali gazdagépről a másik oldali szolgáltatásra, és erősítse meg, hogy a válasz az alagúton érkezik. Ha csak a ping megy át, a rekord éppen most találta meg azt a továbbítási problémát, amelynek megelőzésére íródott. strongSwan továbbítási dokumentáció elmagyarázza, hogyan hatnak egymásra a szelektorok, az útvonalak és a továbbítás egy Linux-partneren.