Selektor IPsec yang luas bukan izin untuk setiap layanan

Dua peer sepakat melindungi seluruh subnet, dan seseorang membaca kesepakatan itu sebagai izin menjangkau setiap layanan di dalamnya. Itulah mitosnya: selektor menyatakan lalu lintas apa yang bersedia dibawa terowongan, dan tidak menyatakan apa pun tentang layanan mana yang diizinkan organisasi. Sepasang perangkat dapat menegosiasikan rentang alamat yang luas secara sah sementara kebijakan akses di dalamnya mengizinkan dua port, dan kedua pernyataan tetap benar pada saat yang sama.

Cakupan terlindungi bukan otorisasi

Selektor lalu lintas adalah bagian dari kesepakatan terowongan. Ia mempersempit atau menegaskan apa yang akan dienkripsi para peer satu sama lain, dan selektor luas sering kali paling sederhana dioperasikan ketika kedua sisi punya banyak aliran untuk dibawa. Filter layanan adalah kendali lain di titik lain dalam jalur, dan ia memutuskan apa yang benar-benar boleh dipakai setelah paket didekripsi. Menghapus filter agar satu pengujian lolos mengubah keputusan kebijakan menjadi kecelakaan.

Simpan kedua catatan terpisah dalam dokumen desain, karena pembaca yang hanya melihat selektor akan menyimpulkan otorisasi yang tidak pernah diberikan. Dua baris dalam catatan perubahan mencegahnya, dan keduanya memakan waktu lebih sedikit daripada perdebatan yang menyusul.

Jelaskan satu aliran dari kedua ujung

Tuliskan inisiator, responden, sumber dan tujuan sebagaimana disajikan, protokol, dan kedua port. Lalu balik setiap label itu untuk ujung lainnya, karena port sumber sementara milik klien menjadi port tujuan balasan dan jaringan jauh menjadi jaringan lokal. Konfigurasi yang disalin dari satu sisi ke sisi lain tanpa pembalikan itu adalah cara filter akhirnya mengizinkan arah yang justru salah. Tulis tabelnya sekali dan bangun kedua filter darinya.

Sepakati model pemilihan sebelum menyalin apa pun, karena desain berbasis kebijakan dan desain berbasis rute menyatakan maksud yang sama melalui objek yang berbeda. Tuliskan nama model di samping aliran, atau insinyur berikutnya akan menghabiskan satu sore mencocokkan objek yang tidak pernah sebanding.

Temukan filter yang benar-benar berlaku

Pada ASA, filter VPN adalah ACL yang dilekatkan pada kebijakan grup dan diterapkan pada lalu lintas pascadekripsi dan praenkripsi. Dokumentasi kebijakan grup Cisco juga menjelaskan pewarisan, termasuk nilai tingkat pengguna yang menggantikan nilai kebijakan grup. Jadi ACL yang Anda sunting mungkin bukan ACL yang mengatur sesi di depan Anda. Hal yang sama berlaku untuk objek pengguna, yang dapat mengalahkan grup tanpa meninggalkan banyak jejak yang terlihat.

Periksa sesi yang efektif alih-alih objek yang Anda ingat telah diubah, dan catat objek kebijakan mana yang menyediakannya. Langkah tunggal itu menyelesaikan cukup banyak laporan bertipe filternya benar tetapi tidak bekerja.

Arah, port, dan kasus terbalik

Konvensi terdokumentasi menempatkan jaringan jauh, atau alamat klien jauh yang ditetapkan, di posisi sumber dan jaringan lokal di posisi tujuan, dengan balasan dinyatakan dengan menukar posisi alamat. Aturan port berada di atas konvensi itu dan menuntut lebih banyak kehati-hatian daripada alamat.

Model terdokumentasi dapat membiarkan aturan port tujuan memengaruhi inisiasi terbalik yang memakai port sumber yang sama, yang berarti filter bukan sekadar aturan permintaan searah dengan balasan tak berbahaya. Pikirkan kedua arah inisiasi secara eksplisit, dan sertakan kasus yang ingin Anda tolak.

Dokumentasi yang sama membatasi filter pada koneksi awal, jadi ia bukan penegakan universal setiap kanal sekunder yang dibuka aplikasi yang diperiksa. Bila kebijakan lengkap membutuhkan cakupan itu, tempatnya di batas terpisah, bukan di ACL yang ditarik melewati tujuannya.

Uji tiga kasus sebelum menyebutnya selesai

Terima aliran yang dimaksud, tolak layanan yang dilarang kebijakan, dan latih kasus arah terbalik yang Anda pikirkan. Jalankan semuanya di bawah rencana yang disetujui dengan identitas dan selektor yang sama seperti yang akan Anda terapkan. Pengujian yang hanya menunjukkan layanan yang diizinkan bekerja membuktikan terowongan, bukan kebijakan.

Simpan cakupan yang dinegosiasikan dan keputusan akses sebagai dua catatan, karena menjelaskan apa yang diizinkan VPN membutuhkan keduanya.