Getur ein WAN-tengi þjónað bæði stað-til-staðar og fjartengdu VPN?

Eitt opinbert vistfang getur þjónað útibúsgöngum og safni hreyfanlegra notenda á sama tíma. En það getur ekki þjónað einni sameiginlegri inngöngureglu. Jafningi útibúsins og hreyfanlegi notandinn eru ólík að því hverjir þeir segjast vera, hvernig sú sönnun er athuguð, hvaða vistföng þeir fá og hvaða forskeyti mega svara þeim. Um leið og þú meðhöndlar ytra vistfangið sem flutningssmáatriði frekar en auðkenni verður hönnunin miklu einfaldari.

Skjót skynsemisprófun: reyndu að skrifa báðar inngöngufærslurnar áður en þú snertir beininn. Ef eitt samsvörunarskilyrði verður að ná yfir bæði er stefnan þegar tvíræð, og fyrsta einkennið mun líta út eins og bilun í leiðsögn eða eldvegg þótt í raun sé bilun í auðkenni.

Tvær færslur fyrir hverja stillingu

Færsla útibúsins er stutt og stöðug. Hún listar vistfang jafningsins eða nafn vottorðsins, fyrirfram deildan lykil eða traustpunkt vottorðsins, varin undirnet beggja vegna, tengi ganganna og þá fastleið sem sendir umferð í átt að útibúinu inn í þau göng. Hver reitur snýst um einn þekktan jafningja og fast mengi forskeyta.

Færsla hreyfanleikans er breiðari og persónulegri. Hún listar samskiptareglur og gátt biðlarans, hvernig notandi eða tæki auðkennir sig, vistfangasafnið sem er gefið við tengingu, þau auðlindir sem safnið má ná til, forskeyti skipta gangsins, DNS-þjóna sem ýtt er til biðlarans og hvaða annan þátt sem er. Hver reitur svarar spurningu um óþekktan fjölda notenda en ekki eina gátt.

Þessi munur á nákvæmni er öll ástæðan fyrir því að hlutverkin tvö skiljast. Útibúsprófíll getur treyst einum lykli örugglega því lykillinn tilheyrir einu tæki á einum stað. Hreyfanleikaprófíll sem treystir einum hópalykli fyrir alla hrundar ábyrgð á hvern notanda, og það uppgötvast venjulega seinna, við atvikaskoðun en ekki við innleiðinguna.

Hvar samsvörun jafningja og auðkenning skiljast

Á IOS XE ber IKEv2-prófíllinn færibreyturnar sem ekki er hægt að semja um og skilyrðin sem notuð eru til að velja jafningjann. Það þýðir að útibúshliðin og hreyfanleikahliðin þurfa hvort sitt prófílinn, jafnvel þegar þau enda á sama tengi og jafnvel þegar þau deila einni dulritunarlegri PKI. Cisco lýsir hlutverkum prófíls, auðkenningar og samsvörunar í sinni stillingarleiðsögn fyrir IKEv2 á IOS XE 17.

Útibúsprófíllinn samsvarar venjulega þröngu auðkenni: fjarvistfangi, FQDN eða viðfangi vottorðs. Eitthvað eins og match identity remote address 198.51.100.10 255.255.255.255 festir einn jafningja, og authentication remote pre-share með lykli sem geymdur er fyrir hvern stað nægir. Haltu samsvöruninni eins nákvæmri og jafningjaskráin leyfir, því skarastjarna ofar í valsröð getur dregið umferð útibúsins inn í rangt prófíl.

Hreyfanleikaprófíllinn getur ekki fest vistfang, svo hann samsvarar hópi, key-id eða reit í vottorði og afhendir síðan raunverulega notendaprófun til AAA eða til heimildastefnunnar sem er tengd prófílnum. Þessi aðskilnaður skiptir máli: auðkenning jafningja svarar því hvort biðlaranum sé leyft að byggja göng, og heimild á hvern notanda svarar því hvaða safn og hvaða auðlindir hann fær. Að nota lykil útibúsins sem almenna innskráningu hendir öðru svarinu.

Framsending og þýðing þurfa sama aðskilnað

Innganga og aðgengi eru aðskilin vandamál. Árangursrík IKE- og IPsec-skipti sanna að aðilar séu sammála um lykla; þau búa ekki til leið að safninu sem biðlarinn fékk. Þess vegna þurfa fjaraðgangssöfn afturleið, annaðhvort fastleið sem bendir á tengi gangsins eða leiðsagnarsamskiptareglur sem sprauta samantekt safnsins inn. Forskyti útibúsins koma venjulega í gegnum sama leiðsagnarferli og þjónar restinni af staðnum.

Þýðingin er þar sem hlutverkin tvö rekast oftast á. Umferð milli staða sem verður að halda eigin einkavistföngum þarf NAT-undanþágu sem takmarkast við þessi tvö forskeyti, í báðar áttir. Hreyfanlegir biðlarar þurfa venjulega líka undanþágu fyrir umferð sína í göngunum, en umferð þeirra til internetsins fer annaðhvort fram hjá göngunum með skiptum göngum eða fer út hjá miðstöðinni eftir NAT. Að undanþiggja allt sem kemur úr göngum er hin klassíska mistök, því það fjarlægir líka þýðingu frá umferð sem þarf hana sannarlega.

Haltu undanþágureglunum eins þröngum og inngöngureglunum. Ef samantekt safns og forskeyti útibús skarast verður afturleiðin tvíræð löngu áður en nokkur pakki er felldur, og einkennið birtist sem staður sem missir undirnet af og til en ekki sem hrein bilun gangsins.

Viðtökutilvik sem afhjúpa krossaða stefnu

Byggðu fjögur tilvik og keyrðu þau í röð. Hýsitölva í útibúinu nær í auðlind sem aðeins útibúið á. Hreyfanlegur biðlari nær í sömu auðlind í gegnum vistfang safnsins. Hreyfanlegur biðlari prófar forskeyti útibúsins sem hann á ekki að snerta. Jafningi útibúsins reynir að fá vistfang úr fjaraðgangssafninu. Síðustu tvö eru þau sem grípa sameiginlegan prófíl, því þau mistakast hljóðlaust í venjulegri vöktun.

Staðfestu svo gagnasviðið en ekki stillinguna. show crypto ikev2 sa og show crypto ipsec sa segja hvaða prófíll og hvaða valar báru hvert flæði, á meðan show ip nat translations og gangateljarar sýna hvort afturleiðin og undanþágan féllu í raun saman. Tracer eða pakkafanga á tengi gangsins lokar hringnum.

Skrifaðu auðkennið sem varð vart við, vistfang safnsins og stefnuna sem var valin við hverja niðurstöðu. Keyrslunni er lokið þegar hvert tilvik varpar á nákvæmlega eina færslu og ekkert tilvik þarf tímabundna undantekningu til að standast.