Бір WAN интерфейсі сайттар арасындағы және қашықтан қатынау VPN-ін қатар қызмет ете ала ма?

Бір жария мекенжай бір уақытта филиал туннелін және кезбе пайдаланушылар пулын қызмет ете алады. Бірақ ол бір ортақ рұқсат ету ережесін қызмет ете алмайды. Филиал серіктесі мен кезбе пайдаланушы өзгеше — олар өздерін кім деп мәлімдейтіні, бұл дәлелдің қалай тексерілетіні, қандай мекенжайлар алатыны және қандай префикстер оларға жауап бере алатыны бойынша. Сыртқы мекенжайды сәйкестік емес, тасымалдау егжей-тегжейі ретінде қарастырсаңыз, дизайн әлдеқайда қарапайым болады.

Жылдам парасат тесті: маршрутизаторға тимей тұрып екі рұқсат жазбасын жазып көріңіз. Егер бір сәйкестендіру шарты екеуін де қамтуы керек болса, саясат әлдеқашан екіұшты, және бірінші белгі маршруттау немесе брандмауэр ақауына ұқсайды, ал шын мәнінде бұл сәйкестік ақауы.

Кез келген конфигурация алдында екі жазба

Филиал жазбасы қысқа және тұрақты. Ол серіктес мекенжайын немесе сертификат атауын, алдын ала ортақтасқан кілтті немесе сертификаттың сенім нүктесін, екі жақтағы қорғалған қосымша желілерді, туннель интерфейсін және филиалға бағытталған трафикті сол туннельге жіберетін статикалық маршрутты тізіп шығады. Әр өріс бір белгілі серіктеске және префикстердің тұрақты жиынына қатысты.

Кезбе жазба кеңірек және жекелеу. Ол клиент протоколы мен портын, пайдаланушының немесе құрылғының қалай аутентификацияланатынын, қосылу кезінде берілетін мекенжай пулын, сол пулдың жете алатын ресурстарын, бөлінген туннель префикстерін, клиентке жіберілетін DNS серверлерін және кез келген екінші факторды тізіп шығады. Әр өріс бір шлюз туралы емес, пайдаланушылардың белгісіз саны туралы сұраққа жауап береді.

Бөлшектеу деңгейіндегі осы айырмашылық екі рөлдің ажырауының бүкіл себебі. Филиал профилі бір кілтке сенімді түрде сене алады, өйткені кілт бір орындағы бір құрылғыға тиесілі. Барлығы үшін бір топтық кілтке сенетін кезбе профиль пайдаланушы бойынша есептілікті құлдыратады, және бұл әдетте кейінірек, енгізу кезінде емес, оқиғаны қарау кезінде анықталады.

Серіктесті сәйкестендіру мен аутентификация қай жерде ажырайды

IOS XE-де IKEv2 профилі келісілуі мүмкін емес параметрлерді және серіктесті таңдауға қолданылатын шарттарды алып жүреді. Бұл филиал жағы мен кезбе жақ әрқайсысына өз профилі қажет дегенді білдіреді, тіпті олар бір интерфейсте аяқталса да және бір криптографиялық PKI-ді бөліссе де. Cisco профиль, аутентификация және сәйкестендіру рөлдерін өзінің IOS XE 17 үшін IKEv2 конфигурациялау нұсқаулығында сипаттайды.

Филиал профилі әдетте тар сәйкестікке сәйкеседі: қашықтағы мекенжай, FQDN немесе сертификат субъектісі. match identity remote address 198.51.100.10 255.255.255.255 тәрізді нәрсе бір серіктесті бекітеді, ал әр сайт үшін сақталатын кілтпен authentication remote pre-share жеткілікті. Сәйкестендіруді серіктестер тізімі рұқсат еткенше нақты ұстаңыз, өйткені таңдау тәртібінде жоғары тұрған қабаттасатын wildcard филиал трафигін қате профильге тартуы мүмкін.

Кезбе профиль мекенжайды бекіте алмайды, сондықтан ол топқа, key-id-ге немесе сертификат өрісіне сәйкеседі, содан кейін нақты пайдаланушы тексеруін AAA-ға немесе профильге байланған рұқсат саясатына тапсырады. Бұл бөлу маңызды: серіктес аутентификациясы клиентке туннель құруға рұқсат етілгенін жауаптайды, ал пайдаланушы бойынша рұқсат оның қай пул мен қай ресурстарды алатынын жауаптайды. Филиал кілтін әмбебап кіру ретінде пайдалану екінші жауапты тастайды.

Жіберу мен трансляция да сол бөлуді қажет етеді

Рұқсат ету мен жету — бөлек мәселелер. Сәтті IKE және IPsec алмасуы жақтар кілттер бойынша келіскенін дәлелдейді; ол клиент алған пулға маршрут жасамайды. Сондықтан қашықтан қатынау пулдарына қайтару жолы қажет: туннель интерфейсіне бағытталған статикалық маршрут немесе пул жиынтығын енгізетін маршруттау протоколы. Филиал префикстері әдетте сайттың қалған бөлігін қызмет ететін сол маршруттау процесі арқылы келеді.

Трансляция — екі рөл жиі соқтығысатын жер. Жеке мекенжайларын сақтауы керек сайттар арасындағы трафикке сол екі префикспен шектелген NAT жеңілдігі қажет, екі бағытта да. Кезбе клиенттерге әдетте туннель ішіндегі трафигі үшін де жеңілдік қажет, бірақ олардың интернетке бағытталған трафигі не бөлінген туннель арқылы туннельді айналып өтеді, не NAT-тан кейін хабта шығады. Туннельден келетіннің бәрін босату — классикалық қате, өйткені ол шынымен қажет трафиктен трансляцияны да алып қояды.

Босату ережелерін рұқсат ету ережелері сияқты тар ұстаңыз. Егер пул жиынтығы мен филиал префиксі қабаттасса, қайтару жолы кез келген пакет тасталғанға дейін әлдеқайда бұрын екіұшты болады, және белгі таза туннель ақауы ретінде емес, бір сайттың анда-санда қосымша желісін жоғалтуы ретінде көрінеді.

Айқас саясатты әшкерелейтін қабылдау жағдайлары

Төрт жағдай құрып, оларды ретімен іске қосыңыз. Филиал хості тек филиалға тиесілі ресурсқа жетеді. Кезбе клиент өз пулының мекенжайы арқылы сол ресурсқа жетеді. Кезбе клиент тиіспеуі керек филиал префиксін қолданып көреді. Филиал серіктесі қашықтан қатынау пулынан мекенжай алуға тырысады. Соңғы екеуі ортақ профильді ұстап қалады, өйткені қалыпты мониторингте олар үнсіз сәтсіздікке ұшырайды.

Содан кейін конфигурацияны емес, деректер жазықтығын растаңыз. show crypto ikev2 sa мен show crypto ipsec sa әр ағынды қай профиль мен қай селекторлар алып жүргенін айтады, ал show ip nat translations пен туннель есептегіштері қайтару жолы мен жеңілдіктің шынымен сәйкескенін көрсетеді. Туннель интерфейсінде tracer немесе пакет түсіру циклді жабады.

Әр нәтиженің қасына байқалған сәйкестікті, пул мекенжайын және таңдалған саясатты жазыңыз. Әр жағдай дәл бір жазбаға сәйкес келгенде және ешбір жағдай өту үшін уақытша ерекшелік қажет етпегенде, жүгіріс аяқталған.