Կարող է արդյոք մեկ WAN ինտերֆեյս սպասարկել և՛ տեղամիջևային, և՛ հեռավոր VPN-ը։

Մեկ հանրային հասցե կարող է միաժամանակ սպասարկել ճյուղային թունել և թափառող օգտատերերի լողավազան։ Բայց այն չի կարող սպասարկել մեկ ընդհանուր ընդունման կանոն։ Ճյուղի գործընկերը և թափառող օգտատերը տարբերվում են նրանով, թե ում են իրենց հայտարարում, ինչպես է այդ ապացույցը ստուգվում, ինչ հասցեներ են ստանում և որ նախածանցերը կարող են պատասխանել նրանց։ Հենց որ արտաքին հասցեն սկսեք դիտարկել որպես փոխադրման մանրուք և ոչ որպես ինքնություն, նախագծումը շատ ավելի պարզ է դառնում։

Արագ ողջամտության թեստ. փորձեք գրել երկու ընդունման գրառումները, նախքան երթուղղիչին դիպչելը։ Եթե մեկ համապատասխանեցման պայման պետք է ծածկի երկուսին, ապա քաղաքականությունն արդեն երկիմաստ է, և առաջին ախտանիշը կթվա որպես երթուղավորման կամ հրակայուն պատի խափանում, մինչդեռ իրականում դա ինքնության խափանում է։

Երկու գրառում ցանկացած կարգավորումից առաջ

Ճյուղի գրառումը կարճ է և կայուն։ Այն թվարկում է գործընկերի հասցեն կամ վկայագրի անունը, նախապես համօգտագործված բանալին կամ վկայագրի վստահության կետը, երկու կողմերի պաշտպանված ենթացանցերը, թունելի ինտերֆեյսը և այն ստատիկ երթուղին, որը ճյուղին ուղղված տրաֆիկը ուղարկում է այդ թունել։ Յուրաքանչյուր դաշտ վերաբերում է մեկ հայտնի գործընկերի և նախածանցերի ֆիքսված հավաքածուի։

Թափառման գրառումն ավելի լայն է և ավելի անձնական։ Այն թվարկում է հաճախորդի արձանագրությունն ու պորտը, թե ինչպես է օգտատերը կամ սարքը նույնականացվում, միացման պահին տրվող հասցեների լողավազանը, այն ռեսուրսները, որոնց այդ լողավազանը կարող է հասնել, բաժանված թունելի նախածանցերը, հաճախորդին ուղարկվող DNS սերվերները և ցանկացած երկրորդ գործոն։ Յուրաքանչյուր դաշտ պատասխանում է օգտատերերի անհայտ քանակի մասին հարցին, ոչ թե մեկ դարպասի։

Մանրամասնության այդ տարբերությունն է երկու դերերի տարանջատման ամբողջ պատճառը։ Ճյուղային պրոֆիլը կարող է ապահով վստահել մեկ բանալու, որովհետև բանալին պատկանում է մեկ սարքի մեկ վայրում։ Թափառող պրոֆիլը, որը վստահում է մեկ խմբային բանալու բոլորի համար, քանդում է օգտատիրոջ հաշվետվողականությունը, ինչը սովորաբար հայտնաբերվում է ավելի ուշ՝ միջադեպի վերանայման ժամանակ, ոչ թե ներդրման ընթացքում։

Որտեղ են տարանջատվում գործընկերների համապատասխանեցումը և նույնականացումը

IOS XE-ում IKEv2 պրոֆիլը կրում է այն պարամետրերը, որոնց շուրջ հնարավոր չէ բանակցել, և այն պայմանները, որոնցով ընտրվում է գործընկերը։ Դա նշանակում է, որ ճյուղի կողմը և թափառման կողմը յուրաքանչյուրն իր պրոֆիլի կարիքն ունի, նույնիսկ երբ նրանք ավարտվում են նույն ինտերֆեյսում և նույնիսկ երբ կիսում են մեկ գաղտնագրային PKI։ Cisco-ն նկարագրում է պրոֆիլի, նույնականացման և համապատասխանեցման դերերը իր IKEv2 կարգավորման ուղեցույցում IOS XE 17-ի համար։

Ճյուղային պրոֆիլը սովորաբար համապատասխանեցվում է նեղ ինքնության՝ հեռավոր հասցեի, FQDN-ի կամ վկայագրի սուբյեկտի։ match identity remote address 198.51.100.10 255.255.255.255-ի նման մի բան ամրացնում է մեկ գործընկերոջ, և տեղամասի համար պահվող բանալու հետ authentication remote pre-share բավական է։ Համապատասխանեցումը պահեք այնքան կոնկրետ, որքան թույլ է տալիս գործընկերների ցանկը, որովհետև ընտրության կարգում ավելի վերև գտնվող համընկնող wildcard-ը կարող է ճյուղի տրաֆիկը քաշել սխալ պրոֆիլ։

Թափառման պրոֆիլը չի կարող ամրացնել հասցե, ուստի համապատասխանեցվում է խմբի, key-id-ի կամ վկայագրի դաշտի, ապա իրական օգտատիրոջ ստուգումը հանձնում է AAA-ին կամ պրոֆիլին կապված լիազորման քաղաքականությանը։ Այդ տարանջատումը կարևոր է. գործընկերոջ նույնականացումը պատասխանում է՝ թույլատրված է արդյոք հաճախորդին թունել կառուցել, իսկ օգտատիրոջ լիազորումը՝ թե որ լողավազանն ու ռեսուրսներն է նա ստանում։ Ճյուղի բանալին որպես համընդհանուր մուտք օգտագործելը վերացնում է երկրորդ պատասխանը։

Փոխանցումն ու թարգմանությունը նույն տարանջատման կարիքն ունեն

Ընդունումը և հասանելիությունը առանձին խնդիրներ են։ Հաջող IKE և IPsec փոխանակումը ապացուցում է, որ կողմերը համաձայն են բանալիների շուրջ, այն երթուղի չի ստեղծում դեպի այն լողավազանը, որը հաճախորդը ստացել է։ Այդ պատճառով հեռավոր մուտքի լողավազաններին վերադարձի ուղի է պետք՝ կա՛մ թունելի ինտերֆեյսին ուղղված ստատիկ երթուղի, կա՛մ երթուղավորման արձանագրություն, որը ներարկում է լողավազանի ամփոփումը։ Ճյուղի նախածանցերը սովորաբար գալիս են նույն երթուղավորման գործընթացով, որը սպասարկում է տեղամասի մնացած մասը։

Թարգմանությունն այն տեղն է, որտեղ երկու դերերն ամենից հաճախ բախվում են։ Տեղամասերի միջև տրաֆիկը, որը պետք է պահպանի իր մասնավոր հասցեները, կարիք ունի NAT բացառության՝ սահմանափակված այդ երկու նախածանցերով, երկու ուղղությամբ։ Թափառող հաճախորդներին սովորաբար պետք է բացառություն նաև թունելի ներսում իրենց տրաֆիկի համար, բայց նրանց ինտերնետ ուղղված տրաֆիկը կա՛մ շրջանցում է թունելը բաժանված թունելի միջոցով, կա՛մ դուրս է գալիս կենտրոնում NAT-ից հետո։ Ամեն ինչի բացառումը, ինչ գալիս է թունելից, դասական սխալ է, որովհետև այն թարգմանությունը խլում է նաև այն տրաֆիկից, որին այն իսկապես պետք է։

Բացառության կանոնները պահեք այնքան նեղ, որքան ընդունման կանոնները։ Եթե լողավազանի ամփոփումը և ճյուղի նախածանցը համընկնում են, վերադարձի ուղին երկիմաստ է դառնում շատ ավելի վաղ, քան որևէ փաթեթ կմերժվի, և ախտանիշը երևում է որպես տեղամաս, որը ժամանակ առ ժամանակ կորցնում է ենթացանց, այլ ոչ որպես թունելի մաքուր խափանում։

Ընդունման դեպքեր, որոնք բացահայտում են խաչված քաղաքականությունը

Կառուցեք չորս դեպք և գործարկեք դրանք հերթով։ Ճյուղի հոսթը հասնում է միայն ճյուղային ռեսուրսի։ Թափառող հաճախորդը հասնում է նույն ռեսուրսին իր լողավազանի հասցեով։ Թափառող հաճախորդը փորձում է ճյուղի նախածանց, որին չպետք է դիպչի։ Ճյուղի գործընկերը փորձում է հասցե ստանալ հեռավոր մուտքի լողավազանից։ Վերջին երկուսն են, որ բռնում են ընդհանուր պրոֆիլը, որովհետև նրանք սովորական մոնիթորինգում լուռ ձախողվում են։

Ապա հաստատեք տվյալների հարթությունը, ոչ թե կարգավորումը։ show crypto ikev2 sa-ը և show crypto ipsec sa-ը ասում են, թե որ պրոֆիլն ու որ սելեկտորները կրեցին յուրաքանչյուր հոսք, մինչդեռ show ip nat translations-ը և թունելի հաշվիչները ցույց են տալիս՝ արդյոք վերադարձի ուղին և բացառությունը իրոք համընկել են։ Թունելի ինտերֆեյսում tracer կամ փաթեթների որսումը փակում է շրջանը։

Յուրաքանչյուր արդյունքի կողքին գրեք դիտարկված ինքնությունը, լողավազանի հասցեն և ընտրված քաղաքականությունը։ Վազքը ավարտված է, երբ յուրաքանչյուր դեպք համապատասխանում է ուղիղ մեկ գրառման, և ոչ մի դեպք ժամանակավոր բացառության կարիք չունի անցնելու համար։