ფართო IPsec სელექტორი ყველა სერვისის ნებართვა არ არის

ორი მხარე თანხმდება, დაიცვას მთელი ქვექსელი, და ვიღაც ამ შეთანხმებას კითხულობს როგორც მასში არსებულ ყველა სერვისზე წვდომის ნებართვას. ეს არის მითი: სელექტორი ამბობს, რა ტრაფიკის ტარებას არის გვირაბი მზად, და არაფერს ამბობს იმაზე, რომელ სერვისებს უშვებს ორგანიზაცია. ორ მოწყობილობას შეუძლია ლეგიტიმურად შეათანხმოს ფართო მისამართების დიაპაზონი, მაშინ როცა მის შიგნით არსებული წვდომის პოლიტიკა ორ პორტს უშვებს, და ორივე განცხადება ერთდროულად ჭეშმარიტი რჩება.

დაცული დაფარვა ნებართვა არ არის

ტრაფიკის სელექტორი გვირაბის შეთანხმების ნაწილია. ის ავიწროებს ან ადასტურებს, რას დაშიფრავენ მხარეები ერთმანეთს შორის, და ფართო სელექტორი ხშირად ყველაზე მარტივია სამართავად, როცა ორივე მხარეს ბევრი ნაკადი აქვს გადასატანი. სერვისის ფილტრი სხვა კონტროლია ბილიკის სხვა წერტილში და გადაწყვეტს, რისი გამოყენება შეიძლება რეალურად პაკეტის გაშიფვრის შემდეგ. ფილტრის მოშორება იმისთვის, რომ ერთი ტესტი გაიაროს, პოლიტიკის გადაწყვეტილებას შემთხვევითობად აქცევს.

ორი ჩანაწერი ცალკე შეინახეთ დიზაინის დოკუმენტში, რადგან მკითხველი, რომელიც მხოლოდ სელექტორს ხედავს, ივარაუდებს ნებართვას, რომელიც არასდროს გაცემულა. ცვლილების ჩანაწერში ორი სტრიქონი ამას ხელს უშლის და ნაკლებ დროს იკავებს, ვიდრე შემდგომი კამათი.

აღწერეთ ერთი ნაკადი ორივე ბოლოდან

ჩაწერეთ ინიციატორი, პასუხისმგებელი, წყარო და დანიშნულება ისე, როგორც წარმოდგენილია, პროტოკოლი და ორივე პორტი. შემდეგ გადააბრუნეთ თითოეული ეს ჭდე მეორე ბოლოსთვის, რადგან კლიენტის დროებითი წყარო პორტი ხდება პასუხის დანიშნულების პორტი, ხოლო დაშორებული ქსელი ხდება ლოკალური. კონფიგურაცია, რომელიც ერთი მხრიდან მეორეზე კოპირდება ამ გადაბრუნების გარეშე, სწორედ იმიტომ უშვებს ფილტრებს საბოლოოდ ზუსტად არასწორ მიმართულებას. დაწერეთ ცხრილი ერთხელ და მისგან ააგეთ ორივე ფილტრი.

შეუთანხმდით შერჩევის მოდელზე სანამ რამეს დააკოპირებთ, რადგან პოლიტიკაზე დაფუძნებული დიზაინი და მარშრუტზე დაფუძნებული დიზაინი ერთსა და იმავე განზრახვას სხვადასხვა ობიექტით გამოხატავს. ჩაწერეთ მოდელის სახელი ნაკადის გვერდით, თორემ შემდეგი ინჟინერი ნახევარ დღეს დახარჯავს იმ ობიექტების შედარებაზე, რომლებიც არასდროს ყოფილა შესადარებელი.

იპოვეთ ფილტრი, რომელიც რეალურად მოქმედებს

ASA-ზე VPN ფილტრი არის ACL, რომელიც მიბმულია ჯგუფურ პოლიტიკაზე და გამოიყენება გაშიფვრის შემდეგ და დაშიფვრამდე ტრაფიკზე. Cisco-ს ჯგუფური პოლიტიკის დოკუმენტაცია ასევე აღწერს მემკვიდრეობას, მათ შორის მომხმარებლის დონის მნიშვნელობას, რომელიც ცვლის ჯგუფური პოლიტიკის მნიშვნელობას. ამიტომ თქვენ მიერ რედაქტირებული ACL შეიძლება არ იყოს ის ACL, რომელიც თქვენს წინ სესიას მართავს. იგივე ეხება მომხმარებლის ობიექტს, რომელსაც შეუძლია ჯგუფის გადაჭარბება ბევრი თვალსაჩინო კვალის დატოვების გარეშე.

შეამოწმეთ ფაქტობრივი სესია და არა ის ობიექტი, რომლის შეცვლაც გახსოვთ, და ჩაწერეთ, რომელი პოლიტიკის ობიექტი აძლევს მას. ეს ერთი ნაბიჯი ხსნის გასაოცრად ბევრ შეტყობინებას ტიპისა ფილტრი სწორია, მაგრამ არ მუშაობს.

მიმართულება, პორტები და საპირისპირო შემთხვევა

დოკუმენტირებული წესი დაშორებულ ქსელს ან მინიჭებულ დაშორებულ კლიენტის მისამართებს აყენებს წყაროს პოზიციაზე, ხოლო ლოკალურ ქსელს დანიშნულების პოზიციაზე, პასუხები კი გამოიხატება მისამართების პოზიციების შეცვლით. პორტების წესები ამ წესის ზემოთ დგას და მეტ ყურადღებას იმსახურებს, ვიდრე მისამართები.

დოკუმენტირებული მოდელი შეიძლება დაუშვას, რომ დანიშნულების პორტის წესმა გავლენა მოახდინოს საპირისპირო ინიციაციაზე, რომელიც იმავე წყარო პორტს იყენებს, რაც ნიშნავს, რომ ფილტრი უბრალოდ ცალმხრივი მოთხოვნის წესი არ არის უვნებელი პასუხებით. გაიაზრეთ ორივე ინიციაციის მიმართულება ცხადად და ჩართეთ ის შემთხვევა, რომლის უარყოფასაც აპირებთ.

იგივე დოკუმენტაცია ფილტრს ზღუდავს საწყის კავშირებით, ამიტომ ის არ არის შემოწმებული აპლიკაციის მიერ გახსნილი ყოველი მეორადი არხის საყოველთაო აღსრულება. სადაც სრულ პოლიტიკას ეს დაფარვა სჭირდება, ის ცალკე საზღვარს ეკუთვნის და არა ACL-ს, რომელიც თავის დანიშნულებას სცდება.

სამი შემთხვევა გამოსცადეთ, სანამ დასრულებულს უწოდებთ

მიიღეთ განზრახული ნაკადი, უარყავით სერვისი, რომელსაც პოლიტიკა კრძალავს, და ივარჯიშეთ საპირისპირო მიმართულების შემთხვევაზე, რომელზეც ფიქრობდით. გაუშვით ისინი დამტკიცებული გეგმის ქვეშ იმავე იდენტობებითა და სელექტორებით, რომლებსაც განათავსებთ. ტესტი, რომელიც მხოლოდ დაშვებული სერვისის მუშაობას აჩვენებს, გვირაბს ამტკიცებს და არა პოლიტიკას.

შეთანხმებული დაფარვა და წვდომის გადაწყვეტილება ორ ჩანაწერად შეინახეთ, რადგან იმის ახსნას, თუ რას უშვებს VPN, ორივე სჭირდება.