Kann eng eenzeg WAN-Schnittstell souwuel Site-to-Site wéi och Remote-VPN bedéngen?

Eng eenzeg ëffentlech Adress kann zur selwechter Zäit en Filialtunnel an en Pool vu ronnreesende Benotzer bedéngen. Si kann awer net eng gemeinsam Erlaabnesregel bedéngen. De Peer vum Filial an de ronnreesende Benotzer ënnerscheede sech doranner, wien si behaapten ze sinn, wéi dëse Beweis kontrolléiert gëtt, wéi eng Adresse si kréien a wéi eng Prefixen hinnen äntweren däerfen. Soubal dir déi baussenzeg Adress als Transportdetail behandelt an net als Identitéit, gëtt den Design vill méi einfach.

En schnelle Verstandestest: probéiert béid Erlaabnesopzeechnungen ze schreiwen, ier dir den Router beréiert. Wann eng eenzeg Matchbedingung béides muss ofdecken, ass d'Politik schonn zweedeiteg, an dat éischt Symptom wäert wéi e Routing- oder Firewallfehler ausgesinn, obwuel et eigentlech en Identitéitsfehler ass.

Zwou Opzeechnungen virun all Konfiguratioun

D'Filialopzeechnung ass kuerz a stabil. Si zielt d'Peer-Adress oder den Zertifikatsnumm op, de viräi gedeelte Schlëssel oder den Trustpoint vum Zertifikat, d'geschützte Subnetzer op béide Säiten, d'Tunnelschnittstell an déi statesch Route, déi den Trafick Richtung Filial an deen Tunnel schéckt. All Feld betrëfft ee bekannte Peer an eng fest Rei Prefixen.

D'Opzeechnung fir d'Ronnreesen ass méi breet a méi perséinlech. Si zielt d'Clientprotokoll an de Port op, wéi e Benotzer oder en Apparat sech authentifizéiert, den Adresspool, deen beim Verbannen ausgëtt, d'Ressourcen, déi deen Pool erreeche kann, d'Prefixe vum gedeelten Tunnel, d'DNS-Serveren, déi op de Client gedréckt ginn, an all zweeten Faktor. All Feld äntwert op eng Fro iwwer eng onbekannt Zuel vu Benotzer an net iwwer eng eenzeg Gateway.

Dësen Ënnerscheed an der Granularitéit ass de ganzen Grond, firwat déi zwou Rolle sech trennen. En Filialprofil kann engem eenzegen Schlëssel sécher vertrauen, well de Schlëssel zu engem Apparat op enger Plaz gehéiert. En Ronnreesprofil, deen engem Gruppeschlëssel fir jiddereen vertraut, brécht d'Verantwortung pro Benotzer an, an dat gëtt meeschtens méi spéit entdeckt, bei der Nokucke vun engem Tëschefall an net beim Rollout.

Wou sech Peer-Matching an Authentifikatioun trennen

Op IOS XE dréit den IKEv2-Profil d'Parameteren, iwwer déi net ka verhandelt ginn, an d'Konditiounen, mat deenen de Peer erausgesicht gëtt. Dat heescht, d'Filialsäit an d'Ronnreessäit brauchen all hir eege Profil, och wann se op der selwechter Schnittstell ophalen an och wann se eng gemeinsam Krypto-PKI deelen. Cisco dokumentéiert d'Rolle vum Profil, vun der Authentifikatioun an vum Matching a sengem Konfiguratiounsguiden fir IKEv2 op IOS XE 17.

De Filialprofil passt meeschtens op eng schmuel Identitéit: eng distanzt Adress, en FQDN oder en Zertifikatssujet. Eppes wéi match identity remote address 198.51.100.10 255.255.255.255 späert ee Peer fest, an authentication remote pre-share mat engem Schlëssel, dee pro Site gespäichert gëtt, ass genuch. Halt d'Matching sou spezifesch wéi et d'Peer-Inventar erlaabt, well en iwwerlappende Wildcard méi héich an der Auswieluerdnung de Filialtrafick an de falsche Profil zéie kann.

De Ronnreesprofil kann keng Adress festspären, also passt en op eng Grupp, eng Key-ID oder e Zertifikatsfeld a gëtt duerno déi richteg Benotzerpréifung un AAA oder un d'Autorisatiounspolitik, déi um Profil hänkt. Déi Spléckung ass wichteg: d'Peer-Authentifikatioun äntwert, ob den Client en Tunnel däerf bauen, an d'Autorisatioun pro Benotzer äntwert, wéi en Pool a wéi eng Ressourcen en kritt. De Filialschlëssel als universelle Login ze benotzen, geheit déi zweet Äntwert ewech.

D'Weiderleedung an d'Iwwersetzung brauchen déi selwecht Spléckung

Erlaabnes an Erreechbarkeet sinn getrennt Problemer. En erfollegräichen IKE- an IPsec-Austausch beweisegt, datt sech d'Säiten iwwer Schlësselen eens sinn; en schaaft keng Route zu deem Pool, deen de Client kritt huet. Dofir brauchen d'Remote-Access-Pools en Zeréckwee, entweder eng statesch Route op d'Tunnelschnittstell oder e Routingprotokoll, dat d'Poolzesummefaassung sprëtzt. D'Prefixe vum Filial kommen normalerweis duerch dee selwechte Routingprozess, deen de Rescht vum Site bedéngt.

D'Iwwersetzung ass de Punkt, wou déi zwou Rollen am heefegsten zesummestoussen. Den Trafick tëschent Site, dee seng privat Adressen halen muss, brauch eng NAT-Ausnam, déi op déi zwou Prefixe begrenzt ass, an béid Richtungen. Ronnreesend Clienten brauchen normalerweis och eng Ausnam fir hiren Trafick am Tunnel, awer hire Trafick Richtung Internet geet entweder um Tunnel laanscht duerch Split-Tunneling oder geet nom NAT um Hub eraus. Alles auszenemmen, wat aus engem Tunnel kënnt, ass de klassesche Fehler, well et dem Trafick d'Iwwersetzung hëlt, deen se wierklech brauch.

Halt d'Ausnamregelen esou enk wéi d'Erlaabnesregelen. Wann eng Poolzesummefaassung an e Filialprefix sech iwwerlappen, gëtt den Zeréckwee vill fréier zweedeiteg, wéi ee Pak fält, an d'Symptom weist sech als ee Site, deen heiansdo en Subnetz verléiert, an net als propperen Tunnelausfall.

Akzeptanzfäll, déi eng gekräizt Politik opdecken

Baut véier Fäll a fuert se an der Rei aus. En Host am Filial erreecht eng Ressource, déi just de Filial huet. E ronnreesende Client erreecht déi selwecht Ressource iwwer seng Pooladress. E ronnreesende Client probéiert e Filialprefix, deen en net soll beréieren. De Peer vum Filial probéiert eng Adress aus dem Remote-Access-Pool ze kréien. Déi lescht zwou sinn déi, déi e gedeelte Profil fänken, well se an der normaler Iwwerwaachung stëll versoen.

Duerno bestätegt d'Datefläch an net d'Konfiguratioun. show crypto ikev2 sa an show crypto ipsec sa soen, wéi ee Profil a wéi eng Selektoren all Floss gedroen hunn, während show ip nat translations an d'Tunnelzähler weisen, ob de Zeréckwee an d'Ausnam wierklech gepasst hunn. En Tracer oder eng Pakopnam op der Tunnelschnittstell schléisst de Krees.

Schreift d'beobacht Identitéit, d'Pooladress an d'gewielt Politik nieft all Resultat. De Laf ass fäerdeg, wann all Fall genee enger Opzeechnung entsprécht an keen Fall eng temporär Ausnam brauch, fir ze bestoen.