Լայն IPsec ընտրիչը բոլոր ծառայությունների թույլտվությունը չէ

Երկու կողմեր պայմանավորվում են պաշտպանել ամբողջ ենթացանցը, և ինչ-որ մեկը այդ պայմանավորվածությունը կարդում է որպես դրա ներսում յուրաքանչյուր ծառայության հասնելու թույլտվություն։ Դա է առասպելը. ընտրիչը ասում է, թե ինչ երթևեկություն է թունելը պատրաստ կրելու, և ոչինչ չի ասում, թե կազմակերպությունը որ ծառայություններն է թույլատրում։ Երկու սարք կարող են օրինականորեն համաձայնեցնել լայն հասցեների տիրույթ, մինչդեռ դրա ներսի մուտքի քաղաքականությունը թույլատրում է երկու պորտ, և երկու պնդումները միաժամանակ ճշմարիտ են մնում։

Պաշտպանված ծածկույթը լիազորություն չէ

Երթևեկության ընտրիչը թունելի պայմանավորվածության մասն է։ Այն նեղացնում կամ հաստատում է, թե կողմերը ինչ են գաղտնագրելու միմյանց միջև, և լայն ընտրիչը հաճախ ամենապարզ բանն է շահագործելու համար, երբ երկու կողմերն ունեն շատ հոսքեր կրելու։ Ծառայության զտիչը մեկ այլ հսկողություն է ուղու մեկ այլ կետում, և այն որոշում է, թե փաթեթի ապակոդավորումից հետո ինչ կարելի է իրականում օգտագործել։ Զտիչը հեռացնելը, որպեսզի մեկ թեստ անցնի, քաղաքականության որոշումը վերածում է պատահարի։

Երկու գրառումները առանձին պահեք նախագծային փաստաթղթում, որովհետև ընթերցողը, որը տեսնում է միայն ընտրիչը, կենթադրի լիազորություն, որը երբեք չի տրվել։ Փոփոխությունների գրառման երկու տող դա կանխում են, և դրանք ավելի քիչ ժամանակ են պահանջում, քան հաջորդող վեճը։

Նկարագրեք մեկ հոսք երկու ծայրերից

Գրեք նախաձեռնողին, պատասխանողին, աղբյուրը և նպատակակետը այնպես, ինչպես ներկայացված են, արձանագրությունը և երկու պորտերը։ Այնուհետև շրջեք այդ պիտակներից յուրաքանչյուրը մյուս ծայրի համար, որովհետև հաճախորդի ժամանակավոր աղբյուր պորտը դառնում է պատասխանի նպատակակետ պորտը, իսկ հեռավոր ցանցը դառնում է տեղականը։ Այդ շրջումից առանց մի կողմից մյուսը պատճենված կոնֆիգուրացիան այն է, թե ինչպես զտիչները վերջում թույլ են տալիս հենց սխալ ուղղությունը։ Գրեք աղյուսակը մեկ անգամ և դրանից կառուցեք երկու զտիչները։

Համաձայնեցեք ընտրության մոդելի շուրջ նախքան որևէ բան պատճենելը, որովհետև քաղաքականության վրա հիմնված ձևավորումը և երթուղու վրա հիմնված ձևավորումը նույն մտադրությունն արտահայտում են տարբեր օբյեկտներով։ Գրեք մոդելի անունը հոսքի կողքին, այլապես հաջորդ ինժեները կանցկացնի կես օր այնպիսի օբյեկտներ համապատասխանեցնելով, որոնք երբեք համադրելի չեն եղել։

Գտեք այն զտիչը, որն իրականում կիրառվում է

ASA-ում VPN զտիչը ACL է, որը կապված է խմբային քաղաքականության հետ և կիրառվում է ապակոդավորումից հետո և գաղտնագրումից առաջ երթևեկության վրա։ Cisco-ի խմբային քաղաքականության փաստաթղթերը նկարագրում են նաև ժառանգումը, ներառյալ օգտվողի մակարդակի արժեք, որը փոխարինում է խմբային քաղաքականության արժեքին։ Այսպիսով, ձեր խմբագրած ACL-ը կարող է այն ACL-ը չլինել, որը կառավարում է ձեր առջևի սեսիան։ Նույնը վերաբերում է օգտվողի օբյեկտին, որը կարող է գերազանցել խմբին՝ շատ տեսանելի հետք չթողնելով։

Ուսումնասիրեք փաստացի սեսիան, այլ ոչ թե այն օբյեկտը, որը հիշում եք, թե փոխել եք, և նշեք, թե որ քաղաքականության օբյեկտն է այն տրամադրում։ Այդ մեկ քայլը լուծում է զարմանալիորեն շատ հաշվետվություններ զտիչը ճիշտ է, բայց չի աշխատում տեսակի։

Ուղղություն, պորտեր և հակառակ դեպքը

Փաստաթղթավորված կանոնը հեռավոր ցանցը կամ հատկացված հեռավոր հաճախորդների հասցեները դնում է աղբյուրի դիրքում, իսկ տեղական ցանցը՝ նպատակակետի դիրքում, ընդ որում պատասխաններն արտահայտվում են հասցեների դիրքերի փոխանակմամբ։ Պորտերի կանոնները նստում են այդ կանոնի վրա և ավելի մեծ ուշադրության արժանի են, քան հասցեները։

Փաստաթղթավորված մոդելը կարող է թույլ տալ, որ նպատակակետ պորտի կանոնը ազդի հակադարձ նախաձեռնության վրա, որն օգտագործում է նույն աղբյուր պորտը, ինչը նշանակում է, որ զտիչը պարզապես միակողմանի հարցում-կանոն չէ անվնաս պատասխաններով։ Մտածեք երկու նախաձեռնության ուղղությունների մասին բացահայտ, և ներառեք այն դեպքը, որը մտադիր եք մերժել։

Նույն փաստաթղթերը զտիչը սահմանափակում են սկզբնական կապերով, ուստի այն ստուգվող հավելվածի բացած յուրաքանչյուր երկրորդական ալիքի համընդհանուր կիրառում չէ։ Այնտեղ, որտեղ ամբողջական քաղաքականությանը պետք է այդ ծածկույթը, այն պատկանում է առանձին սահմանի, այլ ոչ իր նպատակից այն կողմ ձգված ACL-ի։

Փորձարկեք երեք դեպք նախքան ավարտված հայտարարելը

Ընդունեք նախատեսված հոսքը, մերժեք ծառայություն, որն արգելում է քաղաքականությունը, և վարժեցրեք այն հակադարձ ուղղության դեպքը, որի մասին մտածել եք։ Գործարկեք դրանք հաստատված պլանի ներքո նույն ինքնություններով և ընտրիչներով, որոնք տեղակայելու եք։ Թեստը, որը ցույց է տալիս միայն թույլատրված ծառայության աշխատանքը, ապացուցում է թունելը, ոչ քաղաքականությունը։

Պահեք համաձայնեցված ծածկույթը և մուտքի որոշումը որպես երկու գրառում, որովհետև VPN-ի թույլատրածը բացատրելու համար երկուսն էլ անհրաժեշտ են։