შეუძლია ერთ WAN ინტერფეისს ერთდროულად საიტებს შორის და დისტანციური VPN-ის მომსახურება?

ერთ საჯარო მისამართს შეუძლია ერთდროულად ფილიალის გვირაბისა და მოძრავი მომხმარებლების აუზის მომსახურება. მაგრამ მას არ შეუძლია ერთი საერთო დაშვების წესის მომსახურება. ფილიალის პარტნიორი და მოძრავი მომხმარებელი განსხვავდებიან იმაში, თუ ვინ არიან ისინი საკუთარი განაცხადით, როგორ მოწმდება ეს დამტკიცება, რა მისამართებს იღებენ და რომელი პრეფიქსები შეიძლება მათ პასუხობდეს. როგორც კი გარე მისამართს გადაზიდვის დეტალად განიხილავთ და არა იდენტობად, დიზაინი ბევრად მარტივი ხდება.

სწრაფი საღი აზრის ტესტი: სცადეთ ორივე დაშვების ჩანაწერის დაწერა, სანამ მარშრუტიზატორს შეეხებით. თუ ერთმა შედარების პირობამ ორივე უნდა დაფაროს, პოლიტიკა უკვე ორაზროვანია და პირველი სიმპტომი მარშრუტიზაციის ან ფაირვოლის ხარვეზად გამოჩნდება, თუმცა სინამდვილეში იდენტობის ხარვეზია.

ორი ჩანაწერი ნებისმიერ კონფიგურაციამდე

ფილიალის ჩანაწერი მოკლე და სტაბილურია. ის ჩამოთვლის პარტნიორის მისამართს ან სერტიფიკატის სახელს, წინასწარ გაზიარებულ გასაღებს ან სერტიფიკატის ნდობის წერტილს, ორივე მხარის დაცულ ქვექსელებს, გვირაბის ინტერფეისს და იმ სტატიკურ მარშრუტს, რომელიც ფილიალისკენ მიმართულ ტრაფიკს ამ გვირაბში აგზავნის. ყოველი ველი ეხება ერთ ცნობილ პარტნიორს და პრეფიქსების ფიქსირებულ კრებულს.

მოძრავი ჩანაწერი უფრო ფართო და უფრო პირადია. ის ჩამოთვლის კლიენტის პროტოკოლსა და პორტს, როგორ ავთენტიფიცირდება მომხმარებელი ან მოწყობილობა, დაკავშირებისას გაცემულ მისამართების აუზს, რესურსებს, რომლებამდეც ამ აუზს წვდომა შეუძლია, გაყოფილი გვირაბის პრეფიქსებს, კლიენტთან გაგზავნილ DNS სერვერებს და ნებისმიერ მეორე ფაქტორს. ყოველი ველი პასუხობს კითხვას მომხმარებლების უცნობი რაოდენობის შესახებ და არა ერთი კარიბჭის.

დეტალურობის ეს განსხვავება არის ორი როლის გაყოფის მთელი მიზეზი. ფილიალის პროფილს შეუძლია უსაფრთხოდ ენდოს ერთ გასაღებს, რადგან გასაღები ერთ მოწყობილობას ეკუთვნის ერთ ადგილას. მოძრავი პროფილი, რომელიც ყველასთვის ერთ ჯგუფურ გასაღებს ენდობა, ანგრევს მომხმარებლის მიმართ ანგარიშვალდებულებას და ეს ჩვეულებრივ მოგვიანებით აღმოჩნდება, ინციდენტის განხილვისას და არა დანერგვისას.

სად იყოფა პარტნიორის შედარება და ავთენტიფიკაცია

IOS XE-ზე IKEv2 პროფილი ატარებს პარამეტრებს, რომლებზეც მოლაპარაკება შეუძლებელია, და პირობებს, რომლებითაც პარტნიორი შეირჩევა. ეს ნიშნავს, რომ ფილიალის მხარეს და მოძრავ მხარეს თითოეულს საკუთარი პროფილი სჭირდება, მაშინაც კი, როცა ისინი ერთსა და იმავე ინტერფეისზე სრულდებიან და მაშინაც კი, როცა ერთ კრიპტოგრაფიულ PKI-ს იზიარებენ. Cisco აღწერს პროფილის, ავთენტიფიკაციისა და შედარების როლებს თავის IKEv2 კონფიგურაციის სახელმძღვანელოში IOS XE 17-ისთვის.

ფილიალის პროფილი ჩვეულებრივ ემთხვევა ვიწრო იდენტობას: დისტანციურ მისამართს, FQDN-ს ან სერტიფიკატის სუბიექტს. match identity remote address 198.51.100.10 255.255.255.255-ის მსგავსი რამ ერთ პარტნიორს ამაგრებს და ადგილისთვის შენახული გასაღებით authentication remote pre-share საკმარისია. შედარება იმდენად კონკრეტული შეინარჩუნეთ, რამდენადაც პარტნიორების სია იძლევა საშუალებას, რადგან არჩევის რიგში უფრო ზემოთ მდებარე გადამფარავი wildcard-ი ფილიალის ტრაფიკს არასწორ პროფილში შეიძლება ჩაითრიოს.

მოძრავ პროფილს არ შეუძლია მისამართის დამაგრება, ამიტომ ის ემთხვევა ჯგუფს, key-id-ს ან სერტიფიკატის ველს და შემდეგ ნამდვილ მომხმარებლის შემოწმებას AAA-ს ან პროფილზე მიმაგრებულ ავტორიზაციის პოლიტიკას გადასცემს. ეს გაყოფა მნიშვნელოვანია: პარტნიორის ავთენტიფიკაცია პასუხობს, შეიძლება თუ არა კლიენტმა გვირაბის აგება, ხოლო მომხმარებლის ავტორიზაცია პასუხობს, რომელი აუზი და რომელი რესურსები მიიღება. ფილიალის გასაღების უნივერსალურ შესვლად გამოყენება მეორე პასუხს აგდებს.

გადაგზავნასა და თარგმანსაც იგივე გაყოფა სჭირდება

დაშვება და ხელმისაწვდომობა ცალკე პრობლემებია. წარმატებული IKE და IPsec გაცვლა ამტკიცებს, რომ მხარეები გასაღებებზე შეთანხმდნენ; ის არ ქმნის მარშრუტს იმ აუზამდე, რომელიც კლიენტმა მიიღო. ამიტომ დისტანციური წვდომის აუზებს დაბრუნების გზა სჭირდება, ან გვირაბის ინტერფეისისკენ მიმართული სტატიკური მარშრუტი, ან მარშრუტიზაციის პროტოკოლი, რომელიც აუზის შეჯამებას შეიტანს. ფილიალის პრეფიქსები ჩვეულებრივ იმავე მარშრუტიზაციის პროცესით მოდის, რომელიც დანარჩენ ადგილს ემსახურება.

თარგმანი ის ადგილია, სადაც ორი როლი ყველაზე ხშირად ეჯახება. საიტებს შორის ტრაფიკს, რომელმაც პირადი მისამართები უნდა შეინარჩუნოს, სჭირდება NAT-ის გამონაკლისი, შემოსაზღვრული ამ ორი პრეფიქსით, ორივე მიმართულებით. მოძრავ კლიენტებს ჩვეულებრივ გვირაბში მათი ტრაფიკის გამონაკლისიც სჭირდებათ, მაგრამ მათი ინტერნეტისკენ მიმართული ტრაფიკი ან გვირაბს გვერდს უვლის გაყოფილი გვირაბით, ან NAT-ის შემდეგ ცენტრში გადის. ყველაფრის გამონაკლისად გამოცხადება, რაც გვირაბიდან მოდის, კლასიკური შეცდომაა, რადგან ის თარგმანს ართმევს იმ ტრაფიკსაც, რომელსაც ის ნამდვილად სჭირდება.

გამონაკლისის წესები ისე ვიწრო შეინარჩუნეთ, როგორც დაშვების წესები. თუ აუზის შეჯამება და ფილიალის პრეფიქსი ერთმანეთს გადაფარავს, დაბრუნების გზა ბუნდოვანი ხდება მანამდე, სანამ რომელიმე პაკეტი ჩამოვარდება, და სიმპტომი ჩნდება როგორც ადგილი, რომელიც დროდადრო კარგავს ქვექსელს და არა როგორც გვირაბის სუფთა ხარვეზი.

მიღების შემთხვევები, რომლებიც გადაჯვარედინებულ პოლიტიკას ამჟღავნებს

ააგეთ ოთხი შემთხვევა და თანმიმდევრობით გაუშვით. ფილიალის ჰოსტი აღწევს მხოლოდ ფილიალის რესურსამდე. მოძრავი კლიენტი იმავე რესურსამდე აღწევს თავისი აუზის მისამართით. მოძრავი კლიენტი ცდილობს ფილიალის იმ პრეფიქსს, რომელსაც არ უნდა შეეხოს. ფილიალის პარტნიორი ცდილობს დისტანციური წვდომის აუზიდან მისამართის მიღებას. ბოლო ორია ისინი, რომლებიც საერთო პროფილს იჭერენ, რადგან ჩვეულებრივ მონიტორინგში ჩუმად მარცხდებიან.

შემდეგ დაადასტურეთ მონაცემთა სიბრტყე და არა კონფიგურაცია. show crypto ikev2 sa და show crypto ipsec sa ამბობენ, რომელი პროფილი და რომელი სელექტორები ატარებდნენ თითოეულ ნაკადს, ხოლო show ip nat translations და გვირაბის მრიცხველები აჩვენებენ, ნამდვილად დაემთხვა თუ არა დაბრუნების გზა და გამონაკლისი. გვირაბის ინტერფეისზე tracer ან პაკეტების დაჭერა რგოლს ხურავს.

თითოეული შედეგის გვერდით ჩაწერეთ დაკვირვებული იდენტობა, აუზის მისამართი და არჩეული პოლიტიკა. გაშვება დასრულებულია, როცა ყოველი შემთხვევა ზუსტად ერთ ჩანაწერს შეესაბამება და არც ერთ შემთხვევას გავლისთვის დროებითი გამონაკლისი არ სჭირდება.