Кең IPsec селекторы — әр қызметке рұқсат емес

Екі тарап бүкіл қосымша желіні қорғауға келіседі, ал біреу бұл келісімді оның ішіндегі әрбір қызметке жетуге рұқсат деп оқиды. Бұл — аңыз: селектор туннель қандай трафикті тасуға дайын екенін айтады, ал ұйым қандай қызметтерге рұқсат беретіні туралы ештеңе айтпайды. Екі құрылғы кең мекенжай ауқымы туралы заңды түрде келісе алады, сол кезде оның ішіндегі қатынау саясаты екі портқа рұқсат береді, және екі тұжырым да бір уақытта ақиқат болып қалады.

Қорғалған қамту — бұл өкілеттік емес

Трафик селекторы туннель келісімінің бөлігі. Ол тараптар арасында нені шифрлайтынын тарылтады немесе растайды, ал екі жақта тасылатын ағындар көп болса, кең селекторды басқару әдетте қарапайым. Қызмет сүзгісі — жолдың басқа нүктесіндегі басқа бақылау, ол пакет шифрдан шыққаннан кейін шын мәнінде нені пайдалануға болатынын шешеді. Бір тест өтуі үшін сүзгіні алып тастау саяси шешімді апатқа айналдырады.

Дизайн құжатында екі жазбаны бөлек ұстаңыз, өйткені тек селекторды көретін оқырман ешқашан берілмеген өкілеттікті болжайды. Өзгеріс жазбасындағы екі жол мұны болдырмайды және кейінгі даудан аз уақыт алады.

Бір ағынды екі жақтан сипаттаңыз

Бастаушыны, жауап берушіні, ұсынылған күйіндегі көзді мен межені, протоколды және екі портты жазыңыз. Содан кейін осы белгілердің әрқайсысын екінші ұш үшін кері айналдырыңыз, өйткені клиенттің уақытша көз порты жауаптың меже портына айналады, ал алыс желі жергілікті желіге айналады. Осы кері айналдырусыз бір жақтан екінші жаққа көшірілген конфигурация — сүзгілердің соңында дәл қате бағытқа рұқсат беруінің себебі. Кестені бір рет жазып, одан екі сүзгіні құрыңыз.

Бірдеңе көшіруден бұрын таңдау моделі туралы келісіңіз, өйткені саясатқа негізделген дизайн мен маршрутқа негізделген дизайн бір ниетті әртүрлі нысандар арқылы білдіреді. Модель атауын ағынның жанына жазыңыз, әйтпесе келесі инженер ешқашан салыстырылмаған нысандарды сәйкестендіруге жарты күн жұмсайды.

Шын мәнінде қолданылатын сүзгіні табыңыз

ASA-да VPN сүзгісі топтық саясатқа тіркелген және шифрдан шығарудан кейінгі және шифрлауға дейінгі трафикке қолданылатын ACL болып табылады. Cisco-ның топтық саясат құжаттамасы мұрагерлікті де сипаттайды, соның ішінде топтық саясат мәнін алмастыратын пайдаланушы деңгейіндегі мән. Сондықтан сіз өңдеген ACL алдыңыздағы сессияны басқаратын ACL болмауы мүмкін. Сол сияқты пайдаланушы нысаны да көп көрінетін із қалдырмай топты басып кетуі мүмкін.

Өзгерткеніңізді есіңізде ұстаған нысанды емес, нақты сессияны тексеріңіз және оны қай саясат нысаны беретінін жазып қойыңыз. Осы бір қадам сүзгі дұрыс, бірақ жұмыс істемейді деген есептердің таңғаларлық көп бөлігін шешеді.

Бағыт, порттар және кері жағдай

Құжатталған шарт алыс желіні немесе тағайындалған алыс клиент мекенжайларын көз орнына, ал жергілікті желіні меже орнына қояды, жауаптар мекенжай орындарын ауыстыру арқылы білдіріледі. Порт ережелері осы шарттың үстінде тұрады және мекенжайлардан гөрі көбірек күтімді қажет етеді.

Құжатталған модель меже порты ережесінің сол көз портын пайдаланатын кері бастамаға әсер етуіне жол беруі мүмкін, бұл сүзгінің зиянсыз жауаптары бар бір бағытты сұраныс ережесі ғана емес екенін білдіреді. Екі бастама бағытын анық ойлап шығыңыз және бас тартқыңыз келетін жағдайды да қосыңыз.

Сол құжаттама сүзгіні бастапқы қосылыстармен шектейді, сондықтан ол тексерілетін қолданба ашатын әрбір қосымша арнаны әмбебап орындау емес. Толық саясатқа осындай қамту қажет болса, ол өз мақсатынан асып кеткен ACL-де емес, жеке шекараға жатады.

Аяқталды деп айтпас бұрын үш жағдайды сынаңыз

Көзделген ағынды қабылдаңыз, саясат тыйым салатын қызметтен бас тартыңыз және ойластырған кері бағыт жағдайын жаттықтырыңыз. Оларды бекітілген жоспар бойынша, орналастыратын бірдей сәйкестендірулер мен селекторлармен іске қосыңыз. Тек рұқсат етілген қызметтің жұмысын көрсететін тест туннельді дәлелдейді, саясатты емес.

Келісілген қамту мен қатынау шешімін екі жазба ретінде ұстаңыз, өйткені VPN нені рұқсат ететінін түсіндіру үшін екеуі де қажет.