En breede IPsec-Selektor ass keng Erlaabnes fir all Service

Zwee Peers eenegen sech, en ganzt Subnetz ze schützen, an een liest dës Eenegung als Erlaabnes, all Service dobannen z’erreechen. Dat ass de Mythos: de Selektor seet, wéi en Traffic den Tunnel bereet ass ze droen, an hie seet näischt doriwwer, wéi eng Servicer d’Organisatioun erlaabt. En Apparatepaar ka legitim eng breet Adressberäich aushandle wärend d’Zougangspolitik dobannen zwee Porte erlaabt, an déi zwou Aussoe bleiwen zur selwechter Zäit wouer.

Ofgedeckt Ëmfang ass keng Autorisatioun

En Traffic-Selektor ass Deel vum Tunnel-Accord. Hien enkelt oder bestätegt, wat d’Peers ënnereneen verschlësselen, an e breede Selektor ass dacks dat Einfachst ze bedreiwen, wann déi zwou Säite vill Flëss ze droen hunn. De Servicefilter ass eng aner Kontroll op enger anerer Plaz am Wee, an hie entscheet, wat no der Entschlësselung vum Paket wierklech benotzt däerf ginn. De Filter ewechhuelen, domat en Test duerchkënnt, mécht aus enger Politikentscheedung engem Accident.

Halt déi zwou Opzeechnungen am Design-Dokument getrennt, well en Lieser, deen nëmmen de Selektor gesäit, eng Autorisatioun ofleede wäert, déi ni ginn ass. Zwou Zeilen an enger Ännerungsopzeechnung verhënneren dat, an se kaschte manner Zäit wéi d’Diskussioun déi duerno kënnt.

Beschreift ee Floss vun den zwou Säiten

Schreift den Initiator, de Responder, d’Quell an d’Zil wéi se presentéiert ginn, de Protokoll an déi zwou Porten op. Dréit duerno all eenzel vun dëse Labelen ëm fir deen aneren Ennpunkt, well de kuerzliewegen Quellport vun engem Client gëtt den Zilport vun enger Äntwert an d’wäit Netzwierk gëtt dat lokal. Eng Konfiguratioun, déi vun enger Säit op déi aner kopéiert gëtt ouni déi Ëmdréiung, ass de Grond, firwat Filteren um Enn genee déi falsch Richtung erlaben. Schreift den Table eng Kéier a baut déi zwou Filteren doraus.

Eenegt Iech op de Selektiounsmodell, ier Dir eppes kopéiert, well e politikbaséierten Design an e routenbaséierten Design déiselwecht Absicht duerch verschidden Objeten ausdrécken. Schreift den Numm vum Modell nieft de Floss, soss verbréngt den nächsten Ingenieur en Nomëtteg domat, Objeten ze vergläichen, déi ni vergläichbar waren.

Fannt de Filter, deen tatsächlech gëllt

Op engem ASA ass de VPN-Filter eng ACL, déi un eng Gruppepolitik gebonnen an op Traffic no der Entschlësselung an virun der Verschlësselung ugewannt gëtt. D’Cisco-Dokumentatioun zu Gruppepolitike beschreift och Ierfschaft, dorënner e Wäert op Benotzerniveau, deen de Wäert vun der Gruppepolitik ersetzt. Dofir ass d’ACL, déi Dir geännert hutt, vläicht net déi ACL, déi d’Sessioun virun Iech regéiert. Datselwecht gëllt fir den Benotzerobjet, deen d’Grupp iwwerstiere kann, ouni vill sichtbar Spuer ze hannerloossen.

Inspektéiert déi effektiv Sessioun amplaz vum Objet, deen Dir Iech erënnert geännert ze hunn, a notéiert wéi en Politikobjet se liwwert. Déeen eenzege Schrëtt léist eng iwwerraschend Zuel vu Rapporten vun der Aart de Filter ass richteg awer hie funktionéiert net.

Richtung, Porten an dee ëmgedréinte Fall

Déi dokumentéiert Konventioun setzt d’wäit Netzwierk, oder déi zougewisen Adresse vu wäite Clienten, op d’Quellpositioun an dat lokal Netzwierk op d’Zilpositioun, woubäi Äntwerten duerch d’Vertausche vun den Adresspositioune ausgedréckt ginn. Portregele sëtzen iwwer dëser Konventioun a verdéngen méi Suergfalt wéi d’Adressen.

De dokumentéierte Modell kann et zouloossen, datt eng Zilport-Regel eng ëmgedréint Initiatioun beaflosst, déi deeselwechte Quellport benotzt, wat bedeit, datt de Filter net just eng eenrichtung Ufro-Regel mat harmlosen Äntwerten ass. Denkt déi zwou Initiatiounsrichtungen ausdrécklech duerch, an huelt de Fall mat op, deen Dir wëllt ofleenen.

Déiselwecht Dokumentatioun limitéiert de Filter op initial Verbindungen, hie ass also keng universell Duerchsetzung vun all Sekundärkanal, deen eng inspizéiert Applikatioun opmécht. Wou déi komplett Politik dës Ofdeckung brauch, gehéiert se op eng getrennt Grenz an net an eng ACL, déi iwwer hire Zweck eraus gezunn gëtt.

Test dräi Fäll, ier Dir et fäerdeg nennt

Akzeptéiert de gewollten Floss, leent e Service of, deen d’Politik verbitt, an übt dee ëmgedréinte Richtungsfall, iwwer deen Dir nogeduecht hutt. Fuert se ënner engem genehmegte Plang mat deene selwechten Identitéiten a Selektoren aus, déi Dir wäert asetzen. En Test, deen nëmmen zeigt, datt dee erlaabte Service funktionéiert, beweisegt den Tunnel, net d’Politik.

Halt déi ausgehandelt Ofdeckung an d’Zougangsentscheedung als zwou Opzeechnungen, well erklären ze mussen, wat eng VPN erlaabt, verlaangt béid.