Hvað á að skrá fyrir VPN milli staða: valar og umfang

Sex mánuðum eftir að göng var tekið í notkun hættir nýtt undirnet að passa við stefnuna og eina skjalið á sameigninni segir skrifstofu-VPN. Það er bilunin sem valaskrá kemur í veg fyrir, og hún er nákvæm: mengi vistfanga breyttist á meðan pappírarnir gerðu það ekki. Að skrifa skrána rétt þýðir að vita hvaða mengi vistfanga af nokkrum þú ert að lýsa, og skrá það sem hin hliðin framfylgir í raun en ekki það sem þú stilltir.

Stillt er ekki samið

Í IPsec-göngum sem byggja á stefnu leggur hvor hlið til umferðarvala: uppruna- og áfangabil fyrir barnsamtökin. Svarið getur þrengt þá tillögu , svo uppsett samtök geta náð yfir minna en stillingin telur upp. Skrá sem afritar stillinguna lýsir því ætlun, ekki núverandi verndarumfangi. Þau tvö fara hljóðlega í sundur og ekkert á stöðusíðu gangsins bendir á það.

Haltu báðum dálkum, með dagsetningunni sem þú fylgdirst þá. Stillti valinn er það sem þú áttir við; sá samningsbundni er það sem kjarninn framfylgir núna. Þegar þeir eru ólíkir skýrir sá munur óvænta bilun mun oftar en villur í leiðsögn.

Eitt samtök tákna ekki heldur hvert stillt par. Göng með nokkrum valasamsetningum geta endað með nokkrum barnsamtökum og skrá sem telur upp eitt þeirra er hlutaatburðaskrá. Teldu þau upp í stað þess að draga þau saman.

Leiðarbundin göng velja á annan hátt

Með leiðarbundnu viðmóti ræður leiðartöflan hvað fer inn í göngin og valarnir geta verið vísvitandi breiðir. Það er lögmæt hönnun en ekki slóleysi, og skráin verður að lýsa því þannig. Skrifaðu niður leiðina, viðmótið sem hún bendir á og eldveggsstefnuna sem takmarkar hvaða þjónustur eru aðgengilegar. Verndarumfangið er vísvitandi breitt og þjónustuumfangið sér um þrenginguna.

Að afrita stefnubundið sniðmát yfir á leiðarbundin göng framleiðir skjal sem lýsir fyrirbæri sem uppsetningin notar ekki. Næsti verkfræðingur leitar þá að valum sem áttu aldrei að vera þar og ályktar að göngin séu rangt stillt þegar þau eru bara illa skjalfest.

Þýðingin á heima í sömu töflu

Þegar NAT sýnir hinni hliðinni annað bil skaltu skrá upprunalegu og þýddu forskeytin saman. Taktu fram það stig þar sem valarnir og aðgangsreglurnar stemma þau saman, því röðin ræður því hvort fjarlæga hliðin sér nokkurn tíma vistfangið sem þú skrifaðir. Tafla með aðeins öðru bilinu tveggja er verri en engin tafla, því hún virðist heil.

Þetta er smáatriðið sem brýtur vinnandi göng eftir NAT-breytingu: valinn passar enn við upprunalega forskeytið, hin hliðin fær nú þýtt forskeyti og endurleið hennar bendir á vistfang sem er ekki lengur til. Ekkert skráir villu á þeirri stundu sem þau hætta að stemma.

Einkanet-DNS á heima á sama stað. Nafn sem leysist í vistfang sem er ónothæft frá viðkomandi stað er skjölunarvilla með meðfylgjandi stuðningsmiða, og það verður kennt um göngunum.

Festa þjónustukröfuna við

Verndað bil er ekki heimildalisti. Skrifaðu hvaða þjónustur eiga að vera aðgengilegar frá hvaða uppruna og hver á forritið bak við þær. Þessi tveir reitir svara ólíkum spurningum og að rugla þeim er leiðin sem öryggisúttekt endar í rifrildi um leiðsögn í stað aðgangs.

Nefndu síðan netstjórnandann sem viðheldur reglunni. Valaskrá án eiganda eldist hljóðlega og ekki er hægt að greina úrelt frá röngu þegar göngin bresta klukkan tvö að nóttu. Eigandinn er líka sá sem getur staðfest að breyting hafi verið vísvitandi.

Breiddu skrána í prófáætlun

Fyrir hverja nauðsynlega leið skaltu velja fulltrúa uppruna- og áfangahýsil og taka fram vænta leið, þjónustu og svarhlið. Það breytir skjalinu í prófáætlun í stað lýsingar. Lestu virku samtökin með skipuninni hér fyrir neðan og berðu þau saman við samningsbundnu röðina sem þú skrifaðir.

swanctl --list-sas

Beinagrind úr fimm línum er yfirleitt nóg til að halda skránni heiðarlegri. Útgáfan hér fyrir neðan kemst fyrir í breytingamiða án styttingar:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping eingöngu á hliðið er ekki samþykktarpróf. Það æfir aldrei gegnumferðarleiðina og getur því staðist á meðan hvert framsent flæði bregst. Prófaðu frá hýsli á annarri hlið til þjónustu á hinni og staðfestu að svarið berist um göngin. Ef aðeins pingið stenst hefur skráin einmitt fundið framsendingarvandamálið sem hún var skrifuð til að fyrirbyggja. framsendingarskjöl strongSwan útskýrir hvernig valar, leiðir og framsending hafa áhrif hvert á annað á Linux-mótaðila.