Breitt IPsec-val er ekki leyfi fyrir hverja þjónustu

Tveir jafningjar semja um að vernda heilt undirnet, og einhver les þann samning sem leyfi til að ná til hverrar þjónustu innan hans. Það er goðsögnin: valið segir til um hvaða umferð göngin eru tilbúin að bera, og það segir ekkert um hvaða þjónustu stofnunin leyfir. Tvö tæki geta löglega samið um breitt netfangasvið á meðan aðgangsstefnan innan þess leyfir tvær gáttir, og báðar fullyrðingarnar standast á sama tíma.

Vernduð þekja er ekki heimild

Ferðavals er hluti af göngusamningnum. Það þrengir eða staðfestir hvað jafningjarnir dulrita sín á milli, og breitt val er oft einfaldast í rekstri þegar báðar hliðar hafa mörg flæði að bera. Þjónustusían er önnur stjórn á öðrum stað í leiðinni, og hún ræður því hvað má raunverulega nota eftir að pakkinn hefur verið afkóðaður. Að fjarlægja síuna svo ein prófun standist breytir stefnuákvörðun í slys.

Haltu skráningunum tveimur aðskildum í hönnunarskjali, því lesandi sem sér aðeins valið mun álykta heimild sem aldrei var veitt. Tvær línur í breytingaskrá koma í veg fyrir það, og þær taka minni tíma en rökræðan sem fylgir.

Lýstu einu flæði frá báðum endum

Skrifaðu niður frumkvæðisaðilann, svarandann, uppruna og viðtakanda eins og þau eru sett fram, samskiptaregluna og báðar gáttirnar. Snúðu svo hverju þessara merkja við fyrir hinn endann, því skammvinn upprunagátt biðlara verður viðtökugátt svars og fjarnetið verður hið staðbundna. Stilling sem er afrituð frá annarri hliðinni án þessarar viðsnúnings er hvernig síur enda á að leyfa nákvæmlega ranga átt. Skrifaðu töfluna einu sinni og byggðu báðar síurnar á henni.

Semdu um valslíkanið áður en nokkru er afritað, því stefnumiðuð hönnun og leiðarmiðuð hönnun tjá sömu ætlun með mismunandi hlutum. Skrifaðu líkansnafnið við flæðið, annars eyðir næsti verkfræðingur síðdegi í að para hluti sem voru aldrei sambærilegir.

Finndu síuna sem á í raun við

Á ASA er VPN-sían ACL sem er tengdur við hópstefnu og beitt á umferð eftir afkóðun og fyrir kóðun. Skjöl Cisco um hópstefnur lýsa einnig erfðum, þar á meðal gildi á notendastigi sem kemur í stað gildis hópstefnunnar. Þannig að ACL sem þú breyttir er ef til vill ekki ACL sem stýrir lotunni fyrir framan þig. Sama gildir um notendahlutinn, sem getur yfirstigið hópinn án þess að skilja mikið sýnilegt spor eftir.

Skoðaðu virku lotuna frekar en hlutinn sem þú manst að þú breyttir, og skrifaðu hjá þér hvaða stefnuhlutur veitir hana. Þetta eina skref leysir ótrúlega margar tilkynningar af gerðinni sían er rétt en virkar ekki.

Stefna, gáttir og hið öfuga tilvik

Skjöluð venja setur fjarnetið, eða úthlutuð netföng fjarbiðlara, í upprunastöðu og staðbundna netið í viðtökustöðu, og svör eru tjáð með því að skipta um stöður netfanganna. Gáttareglur sitja ofan á þeirri venju og eiga skilið meiri natni en netföngin.

Skjöluð líkan geta leyft reglu um viðtökugátt að hafa áhrif á öfuga frumkvæði sem notar sömu upprunagátt, sem þýðir að sían er ekki einfaldlega einstefnuregla um beiðni með meinlausum svörum. Hugsaðu báðar frumkvæðisstefnur skýrt í gegn, og hafðu með tilvikið sem þú ætlar að synja.

Sömu skjöl takmarka síuna við upphaflegar tengingar, svo hún er ekki algild framfylgd á hverri aukarás sem skoðað forrit opnar. Þar sem heildarstefnan þarf þessa þekju á hún heima á sérstakri mörk frekar en í ACL sem er teygður út fyrir tilgang sinn.

Prófaðu þrjú tilvik áður en þú segir þessu lokið

Samþykktu ætlaða flæðið, synjaðu þjónustu sem stefnan bannar, og æfðu öfuga stefnutlivikið sem þú hugsaðir í gegn. Keyrðu þau samkvæmt samþykktri áætlun með sömu auðkennum og völum og þú munt setja upp. Prófun sem aðeins sýnir að leyfða þjónustan virki sannar göngin, ekki stefnuna.

Haltu samninguðu þekjunni og aðgangsákvörðuninni sem tveimur skráningum, því að útskýra hvað VPN leyfir krefst beggja.