Бир WAN интерфейси сайттар аралык жана алыскы VPNди чогуу тейлей алабы?

Бир коомдук дарек бир эле учурда филиал туннелин жана көчмө колдонуучулардын пулун тейлей алат. Бирок ал бир жалпы уруксат берүү эрежесин тейлей албайт. Филиал өнөктөшү менен көчмө колдонуучу айырмаланат — алар өздөрүн ким деп жарыялаганы, бул далилдин кантип текшерилгени, кандай даректерди алганы жана кандай префикстер аларга жооп бере алаганы боюнча. Тышкы даректи инсандык эмес, ташуу деталы катары караганда долбоор кыйла жөнөкөй болот.

Тез акыл-эс текшерүүсү: маршрутизаторго тийүүдөн мурун эки уруксат жазуусун жазып көрүңүз. Эгер бир дал келтирүү шарты экөөнү тең камтышы керек болсо, саясат эчак эки маанилүү, жана биринчи белги маршруттоо же брандмауэр бузулушуна окшош болот, ал эми чындыгында бул инсандык бузулушу.

Ар кандай конфигурациядан мурун эки жазуу

Филиал жазуусу кыска жана туруктуу. Ал өнөктөштүн дарегин же сертификаттын атын, алдын ала бөлүшүлгөн ачкычты же сертификаттын ишеним чекитин, эки тараптагы корголгон кошумча тармактарды, туннелдин интерфейсин жана филиалга багытталган трафикти ошол туннелге жиберүүчү статикалык маршрутту тизмелейт. Ар бир талаа бир белгилүү өнөктөшкө жана префикстердин туруктуу жыйындысына тиешелүү.

Көчмө жазуу кененирээк жана жеке. Ал клиенттин протоколун жана портун, колдонуучунун же түзмөктүн кантип аутентификацияланарын, туташуу учурунда берилүүчү дарек пулун, ошол пул жете ала турган ресурстарды, бөлүнгөн туннелдин префикстерин, клиентке жиберилүүчү DNS серверлерин жана кандайдыр бир экинчи факторду тизмелейт. Ар бир талаа бир шлюз жөнүндө эмес, белгисиз сандагы колдонуучулар жөнүндөгү суроого жооп берет.

Деталдаштыруу деңгээлиндеги ушул айырма эки ролдун ажырашынын бүткүл себеби. Филиал профили бир ачкычка ишенимдүү таяна алат, анткени ачкыч бир жердеги бир түзмөккө таандык. Баары үчүн бир топтук ачкычка таянган көчмө профиль колдонуучу боюнча жоопкерчиликти талкалайт, жана бул адатта кийинчерээк, киргизүү учурунда эмес, окуяны карап чыгуу учурунда табылат.

Өнөктөштү дал келтирүү жана аутентификация кайда ажырайт

IOS XEде IKEv2 профили сүйлөшүп болбой турган параметрлерди жана өнөктөштү тандоого колдонулган шарттарды алып жүрөт. Бул филиал тарабы менен көчмө тарап ар бирине өз профили керек дегенди билдирет, алар бир интерфейсте бүтсө да жана бир криптографиялык PKI бөлүшсө да. Cisco профилдин, аутентификациянын жана дал келтирүүнүн ролдорун өзүнүн IOS XE 17 үчүн IKEv2 конфигурациялоо колдонмосунда сүрөттөйт.

Филиал профили адатта тар инсандыкка дал келет: алыскы дарек, FQDN же сертификаттын субъектиси. match identity remote address 198.51.100.10 255.255.255.255 сыяктуу нерсе бир өнөктөштү бекитет, ал эми ар бир сайт үчүн сакталуучу ачкыч менен authentication remote pre-share жетиштүү. Дал келтирүүнү өнөктөштөр тизмеси уруксат бергенче так кармаңыз, анткени тандоо тартибинде жогору турган кабатташкан wildcard филиалдын трафигин туура эмес профилге тартышы мүмкүн.

Көчмө профиль даректи беките албайт, ошондуктан ал топко, key-idге же сертификаттын талаасына дал келет, анан чыныгы колдонуучу текшерүүсүн AAAга же профилге байланган уруксат саясатына өткөрүп берет. Бул бөлүү маанилүү: өнөктөштүн аутентификациясы клиентке туннель курууга уруксат берилгенин жооп берет, ал эми колдонуучу боюнча уруксат анын кайсы пулду жана кайсы ресурстарды алаганын жооп берет. Филиалдын ачкычын универсалдуу кирүү катары колдонуу экинчи жоопту ыргытат.

Жөнөтүү жана которуу да ушундай бөлүүнү талап кылат

Уруксат берүү жана жетүү — өзүнчө маселелер. Ийгиликтүү IKE жана IPsec алмашуусу тараптар ачкычтар боюнча макулдашканын далилдейт; ал клиент алган пулга маршрут түзбөйт. Ошондуктан алыскы жетүү пулдарына кайтаруу жолу керек: туннелдин интерфейсине багытталган статикалык маршрут же пулдун жыйынтыгын киргизүүчү маршруттоо протоколу. Филиалдын префикстери адатта сайттын калган бөлүгүн тейлеген ошол эле маршруттоо процесси аркылуу келет.

Которуу — эки ролдун эң көп кагылышкан жери. Жеке даректерин сактоого тийиш болгон сайттар аралык трафикке ошол эки префикске чектелген NAT жеңилдиги керек, эки багытта тең. Көчмө клиенттерге адатта туннелдин ичиндеги трафиги үчүн да жеңилдик керек, бирок алардын интернетке багытталган трафиги же бөлүнгөн туннел аркылуу туннелди айланып өтөт, же NATтан кийин хабда чыгат. Туннелден келгендин баарын бошотуу — классикалык ката, анткени ал чындап керектүү трафиктен которууну да алып кетет.

Бошотуу эрежелерин уруксат берүү эрежелери сыяктуу тар кармаңыз. Эгер пулдун жыйынтыгы менен филиалдын префикси кабатташса, кайтаруу жолу кандайдыр бир пакет ташталганга чейин эле эки маанилүү болот, жана белги таза туннель бузулушу катары эмес, бир сайттын ара-чолодо кошумча тармагын жоготуусу катары көрүнөт.

Айкаш саясатты ашкерелеген кабыл алуу учурлары

Төрт учур түзүп, аларды ирети менен иштетиңиз. Филиалдын хостү филиалга гана таандык ресурска жетет. Көчмө клиент өз пулунун дареги аркылуу ошол эле ресурска жетет. Көчмө клиент тийбеши керек болгон филиал префиксин сынап көрөт. Филиалдын өнөктөшү алыскы жетүү пулунан дарек алууга аракет кылат. Акыркы экөө гана жалпы профилди кармайт, анткени кадимки мониторингде алар үнсүз ийгиликсиз болушат.

Анан конфигурацияны эмес, маалымат тегиздигин ырастаңыз. show crypto ikev2 sa жана show crypto ipsec sa ар бир агымды кайсы профиль жана кайсы селекторлор алып жүргөнүн айтат, ал эми show ip nat translations жана туннелдин эсептегичтери кайтаруу жолу менен жеңилдиктин чынында дал келгенин көрсөтөт. Туннелдин интерфейсинде tracer же пакетти кармоо циклди жабат.

Ар бир жыйынтыктын жанына байкалган инсандыкты, пулдун дарегин жана тандалган саясатты жазыңыз. Ар бир учур так бир жазууга дал келгенде жана эч бир учур өтүү үчүн убактылуу өзгөчөлүк талап кылбаганда, жүгүртүү бүткөн.