რა უნდა ჩაიწეროს საიტიდან საიტზე VPN-ისთვის: სელექტორები და ფარგლები

გვირაბის ამოქმედებიდან ექვსი თვის შემდეგ ახალი ქვექსელი წყვეტს პოლიტიკასთან შესაბამისობას და საერთო საცავში არსებული ერთადერთი დოკუმენტი ამბობს ოფისის VPN-ს. ეს არის ის წარუმატებლობა, რომელსაც სელექტორების ჩანაწერი ხელს უშლის, და ის კონკრეტულია: მისამართების ერთობლიობა შეიცვალა, ხოლო ქაღალდები არა. ჩანაწერის სწორად დაწერა ნიშნავს იცოდე, რომელი რამდენიმე მისამართების ერთობლიობიდან აღწერ, და ჩაწერო ის, რასაც მეორე მხარე რეალურად ახორციელებს და არა ის, რაც შენ დააკონფიგურირე.

კონფიგურირებული არ არის შეთანხმებული

პოლიტიკაზე დაფუძნებულ IPsec გვირაბში თითოეული მხარე სთავაზობს ტრაფიკის სელექტორებს: წყაროსა და დანიშნულების დიაპაზონებს შვილობილი ასოციაციისთვის. პასუხის მომცემ მხარეს შეუძლია ეს წინადადება შეავიწროოს , ამიტომ დაყენებულმა ასოციაციამ შეიძლება დაფაროს ნაკლები, ვიდრე კონფიგურაცია ჩამოთვლის. ამიტომ კონფიგურაციის კოპირებადი ჩანაწერი აღწერს განზრახვას და არა დაცვის მიმდინარე ფარგლებს. ორივე ჩუმად შორდება ერთმანეთს და გვირაბის სტატუსის გვერდზე არაფერი მიუთითებს ამაზე.

შეინახე ორივე სვეტი, იმ თარიღით, როცა დააკვირდი. კონფიგურირებული სელექტორი არის ის, რაც გულისხმობდი; შეთანხმებული — ის, რასაც ბირთვი ახლა ახორციელებს. როცა ისინი განსხვავდებიან, ეს განსხვავება გასაკვირ წარუმატებლობას გაცილებით ხშირად ხსნის, ვიდრე მარშრუტიზაციის შეცდომა.

ერთი ასოციაცია ასევე არ წარმოადგენს ყველა კონფიგურირებულ წყვილს. გვირაბი რამდენიმე სელექტორის კომბინაციით შეიძლება დასრულდეს რამდენიმე შვილობილი ასოციაციით და ჩანაწერი, რომელიც მათგან ერთს ჩამოთვლის, ნაწილობრივი ინვენტარია. ჩამოთვალე ისინი შეჯამების ნაცვლად.

მარშრუტზე დაფუძნებული გვირაბები სხვანაირად ირჩევენ

მარშრუტზე დაფუძნებული ინტერფეისის შემთხვევაში მარშრუტიზაციის ცხრილი წყვეტს, რა შედის გვირაბში და სელექტორები შეიძლება განზრახ ფართო იყოს. ეს ლეგიტიმური დიზაინია და არა უყურადღებობა, და ჩანაწერმა ის ასე უნდა აღწეროს. ჩაწერე მარშრუტი, ინტერფეისი, რომელზეც ის მიუთითებს, და ფაიერვოლის პოლიტიკა, რომელიც ზღუდავს, რომელი სერვისებია ხელმისაწვდომი. დაცვის ფარგლები განზრახ ფართოა და შევიწროებას სერვისის ფარგლები აკეთებს.

პოლიტიკაზე დაფუძნებული შაბლონის მარშრუტზე დაფუძნებულ გვირაბზე კოპირება ქმნის დოკუმენტს, რომელიც აღწერს მექანიზმს, რომელსაც განლაგება არ იყენებს. შემდეგი ინჟინერი შემდეგ ეძებს სელექტორებს, რომლებიც იქ არასდროს უნდა ყოფილიყო, და ასკვნის, რომ გვირაბი არასწორად არის კონფიგურირებული, როცა ის უბრალოდ ცუდად არის დოკუმენტირებული.

თარგმანი იმავე ცხრილში ეკუთვნის

როცა NAT მეორე მხარეს სხვა დიაპაზონს წარუდგენს, ჩაწერე ორიგინალური და ნათარგმნი პრეფიქსები ერთად. აღნიშნე ის ეტაპი, რომელზეც სელექტორები და წვდომის წესები ადარებენ მათ, რადგან რიგი განსაზღვრავს, დაინახავს თუ არა შორეული მხარე ოდესმე შენ მიერ დაწერილ მისამართს. ცხრილი ორი დიაპაზონიდან მხოლოდ ერთით უარესია, ვიდრე ცხრილის არარსებობა, რადგან ის სრულად გამოიყურება.

ეს არის ის დეტალი, რომელიც NAT-ის ცვლილების შემდეგ ამტვრევს მომუშავე გვირაბს: სელექტორი კვლავ ემთხვევა ორიგინალურ პრეფიქსს, მეორე მხარე ახლა იღებს ნათარგმნს და მისი დაბრუნების მარშრუტი მიუთითებს მისამართზე, რომელიც აღარ არსებობს. არაფერი არ ლოგავს შეცდომას იმ მომენტში, როცა ისინი წყვეტენ შეთანხმებას.

პირადი DNS იმავე ადგილზე ეკუთვნის. სახელი, რომელიც წყდება მისამართზე, რომელიც შესაბამისი საიტიდან გამოუსადეგარია, დოკუმენტაციის შეცდომაა მიმაგრებული მხარდაჭერის ბილეთით და ბრალი გვირაბს დაეკისრება.

მიამაგრე სერვისის მოთხოვნა

დაცული დიაპაზონი ნებართვების სია არ არის. ჩაწერე, რომელი სერვისები უნდა იყოს ხელმისაწვდომი რომელი წყაროდან და ვის ეკუთვნის მათ უკან არსებული აპლიკაცია. ეს ორი ველი სხვადასხვა კითხვას პასუხობს და მათი არევა ის გზაა, რომლითაც უსაფრთხოების მიმოხილვა საბოლოოდ ხელმისაწვდომობის ნაცვლად მარშრუტიზაციაზე კამათობს.

შემდეგ დაასახელე ქსელის ადმინისტრატორი, რომელიც წესს ინახავს. მფლობელის გარეშე სელექტორების ინვენტარი ჩუმად ძველდება და ძველი არ განსხვავდება არასწორისგან, როცა გვირაბი ღამის ორ საათზე იშლება. მფლობელი ის ადამიანიც არის, ვისაც შეუძლია დაადასტუროს, რომ ცვლილება განზრახ იყო.

აქციე ჩანაწერი ტესტის გეგმად

ყოველი საჭირო გზისთვის აირჩიე წარმომადგენლობითი წყაროსა და დანიშნულების ჰოსტი და ჩაწერე მოსალოდნელი მარშრუტი, სერვისი და პასუხის კარიბჭე. ეს აქცევს დოკუმენტს აღწერიდან ტესტის გეგმად. წაიკითხე ცოცხალი ასოციაცია ქვემოთ მოცემული ბრძანებით და შეადარე ის შენ მიერ დაწერილ შეთანხმებულ რიგს.

swanctl --list-sas

ხუთსტრიქონიანი ჩონჩხი ჩვეულებრივ საკმარისია ჩანაწერი პატიოსნად შესანარჩუნებლად. ქვემოთ მოცემული ვერსია ჩაეტევა ცვლილების ბილეთში დაუჭრელად:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

მხოლოდ კარიბჭეზე ping არ არის მიღების ტესტი. ის არასდროს ვარჯიშობს ტრანზიტულ გზას, ამიტომ შეიძლება გაიაროს, სანამ ყოველი გადაცემული ნაკადი ფუჭდება. ტესტე ერთი მხარის ჰოსტიდან მეორე მხარის სერვისამდე და დაადასტურე, რომ პასუხი გვირაბით მოდის. თუ მხოლოდ ping გადის, ჩანაწერმა ახლახან იპოვა ის გადაცემის პრობლემა, რომლის თავიდან ასაცილებლად დაიწერა. strongSwan-ის გადაცემის დოკუმენტაცია განმარტავს, როგორ ურთიერთქმედებენ სელექტორები, მარშრუტები და გადაცემა Linux-ის პარტნიორზე.