Кең IPsec селектору — ар бир кызматка уруксат эмес

Эки тарап бүтүндөй кошумча тармакты коргоого макулдашат, бирөө бул макулдашууну анын ичиндеги ар бир кызматка жетүүгө уруксат деп окуйт. Бул — уламыш: селектор туннел кандай трафикти ташууга даяр экенин айтат, ал эми уюм кайсы кызматтарга уруксат берерин тууралуу эч нерсе айтпайт. Эки түзмөк кең дарек диапазону боюнча мыйзамдуу макулдаша алат, ошол эле учурда анын ичиндеги кирүү саясаты эки португа уруксат берет, жана эки билдирүү тең бир убакта чындык бойдон калат.

Корголгон камтуу — бул ыйгарым укук эмес

Трафик селектору туннелдик макулдашуунун бөлүгү. Ал тараптар ортосунда эмнени шифрлоону тарытат же ырастайт, ал эми эки тарапта ташуучу агымдар көп болгондо кең селекторду башкаруу адатта жөнөкөй. Кызмат чыпкасы — жолдун башка чекитиндеги башка көзөмөл, ал пакет шифрден чыккандан кийин эмнени чынында колдонууга болорун чечет. Бир тест өтүшү үчүн чыпканы алып салуу саясий чечимди кырсыкка айландырат.

Долбоор документинде эки жазууну өз-өзүнчө кармаңыз, анткени селекторду гана көргөн окурман эч качан берилбеген ыйгарым укукту божомолдойт. Өзгөртүү жазуусундагы эки сап муну болтурбайт жана кийинки талаш-тартыштан аз убакыт алат.

Бир агымды эки учтан сүрөттөңүз

Баштоочуну, жооп берүүчүнү, сунушталган абалдагы булак менен багытты, протоколду жана эки портту жазыңыз. Андан кийин ошол белгилердин ар бирин экинчи уч үчүн тескери буруңуз, анткени кардардын убактылуу булак порту жооптун багыт портуна айланат, ал эми алыскы тармак жергиликтүү тармакка айланат. Ошол тескери буруусуз бир тараптан экинчисине көчүрүлгөн конфигурация — чыпкалар акырында так туура эмес багытка уруксат берүүсүнүн себеби. Таблицаны бир жолу жазып, андан эки чыпканы куруңуз.

Бир нерсени көчүрүүдөн мурун тандоо модели боюнча макулдашыңыз, анткени саясатка негизделген долбоор менен маршрутка негизделген долбоор бир эле ниетти ар башка объектилер аркылуу билдирет. Моделдин атын агымдын жанына жазыңыз, болбосо кийинки инженер эч качан салыштырылбаган объектилерди дал келтирүүгө жарым күн өткөрөт.

Чындап колдонулган чыпканы табыңыз

ASA'да VPN чыпкасы топтук саясатка байланган жана шифрден чыгаргандан кийинки жана шифрлоого чейинки трафикке колдонулган ACL болуп саналат. Cisco'нун топтук саясат документтери мураскорлукту да сүрөттөйт, анын ичинде топтук саясаттын маанисин алмаштырган колдонуучу деңгээлиндеги маанини. Ошондуктан сиз оңдогон ACL алдыңыздагы сессияны башкарган ACL эмес болушу мүмкүн. Колдонуучу объектисине да ушундай, ал көп көрүнгөн из калтырбай эле топту басып өтө алат.

Өзгөрткөнүңүздү эстеп калган объектини эмес, иш жүзүндөгү сессияны текшериңиз жана аны кайсы саясат объектиси берерин жазып коюңуз. Ошол бир кадам чыпка туура, бирок иштебейт деген отчёттордун таң каларлык көбүн чечет.

Багыт, порттор жана тескери учур

Документтелген шарт алыскы тармакты же дайындалган алыскы кардар даректерин булак ордуна, ал эми жергиликтүү тармакты багыт ордуна коёт, жооптор дарек орундарын алмаштыруу менен билдирилет. Порт эрежелери ошол шарттын үстүндө турат жана даректерден көбүрөөк кам көрүүнү талап кылат.

Документтелген модель багыт портунун эрежесинин ошол эле булак портун колдонгон тескери баштоого таасир этишине жол бериши мүмкүн, бул чыпканын зыянсыз жооптору бар бир багыттуу сурам эрежеси эмес экенин билдирет. Эки баштоо багытын ачык ойлонуп чыгыңыз жана баш тарткыңыз келген учурду да кошуңуз.

Ошол эле документтер чыпканы баштапкы туташуулар менен чектейт, ошондуктан ал текшерилүүчү колдонмо ачкан ар бир кошумча каналды универсалдуу аткаруу эмес. Толук саясатка ушундай камту керек болсо, ал өз максатынан ашкан ACL'де эмес, өзүнчө чек арага таандык.

Бүттү деп айтуудан мурун үч учурду сынап көрүңүз

Көздөлгөн агымды кабыл алыңыз, саясат тыюу салган кызматтан баш тартыңыз жана ойлонгон тескери багыт учурун көнүгүңүз. Аларды бекитилген план боюнча, жайгаштыра турган ошол эле инсандыктар жана селекторлор менен иштетиңиз. Тек уруксат берилген кызматтын иштешин көрсөткөн тест туннелди далилдейт, саясатты эмес.

Макулдашылган камтуу менен кирүү чечимин эки жазуу катары кармаңыз, анткени VPN эмнеге уруксат берерин түшүндүрүү үчүн экөө тең керек.