Wat bei engem Site-zu-Site-VPN opgeholl soll ginn: Selektoren an Ëmfang

Sechs Méint nodeems en Tunnel a Betrib geholl gouf, passt en neit Subnetz net méi zur Politik an dat eenzegt Dokument op der Deelung seet Büro-VPN. Dat ass den Ausfall, deen en Selektorsprotokoll verhënnert, an hien ass konkreet: eng Adressemenge huet sech geännert, während d'Pabeieren et net gemaach hunn. D'Protokoll richteg ze schreiwen heescht ze wëssen, wat déi eng oder aner vun e puer Adressemengen Dir beschreift, an déi ze notéieren, déi déi aner Säit tatsächlech duerchsetzt, an net déi, déi Dir konfiguréiert hutt.

Konfiguréiert ass net ausgehandelt

An engem politikbaséierten IPsec-Tunnel proposéiert all Säit Trafficselektoren: Quell- an Zilberäicher fir d'Kandassociatioun. Déi äntwerend Säit däerf dëse Virschlag verengen , sou datt déi installéiert Associatioun manner ka decken, wéi d'Konfiguratioun opzielt. En Protokoll, deen d'Konfiguratioun kopéiert, beschreift dofir eng Absicht, net den aktuellen Schutzëmfang. Déi zwee divergéieren stëll, an näischt op der Tunnelstatus-Säit weist drop hin.

Behält béid Kolonnen, mam Datum, op deem Dir se observéiert hutt. Den konfiguréierte Selektor ass dat, wat Dir gemengt hutt; deen ausgehandelte ass dat, wat de Kernel just elo duerchsetzt. Wa se sech ënnerscheeden, erkläert dësen Ënnerscheed en iwwerraschenden Ausfall vill méi dacks wéi e Routingfehler.

Eng Associatioun representéiert och net all konfiguréiert Puer. En Tunnel mat méi Selektorskombinatiounen kann mat méi Kandassociatiounen ophalen, an en Protokoll, deen eng dovun opzielt, ass eng deelweis Inventur. Zielt se op, amplaz se ze resuméieren.

Rutebaséiert Tunnelen wielen anescht

Mat enger rutebaséierter Schnëttstell entscheet d'Routentabelle, wat an den Tunnel kënnt, an d'Selektore kënnen absichtlech breet sinn. Dat ass en legitimen Design an net Schlampigkeit, an d'Protokoll muss et esou beschreiwen. Schreift d'Rut op, d'Schnëttstell op déi se weist, an d'Firewallpolitik, déi begrenzt, wéi eng Déngschter erreechbar sinn. Den Schutzëmfang ass absichtlech breet, an den Déngschtëmfang mécht d'Verengung.

Eng politikbaséiert Schabloun op en rutebaséierten Tunnel ze kopéieren erzeugt en Dokument, dat en Mechanismus beschreift, deen d'Ausrollung net benotzt. Den nächsten Ingenieur sicht dann no Selektoren, déi ni do sollte sinn, a schléisst, den Tunnel wier falsch konfiguréiert, woubäi en nëmme schlecht dokumentéiert ass.

D'Iwwersetzung gehéiert an déiselwecht Tabell

Wann NAT der anerer Säit en anere Beräich presentéiert, notéiert d'originell an déi iwwersat Präfixen zesummen. Vermierkt d'Etapp, op där d'Selektoren an d'Zougrëffsregele se matenee vergläichen, well d'Reiefolleg entscheet, ob déi wäit Säit d'Adress, déi Dir opgeschriwwen hutt, iwwerhaapt gesäit. Eng Tabell mat nëmmen engem vun den zwéi Beräicher ass méi schlëmm wéi keng Tabell, well se komplett ausgesäit.

Dat ass den Detail, deen en funktionéierenden Tunnel no enger NAT-Ännerung brécht: de Selektor passt ëmmer nach zum originelle Präfix, déi aner Säit kritt elo en iwwersaten, an hir Réckrut weist op eng Adress, déi et net méi gëtt. Näischt loggt e Fehler an deem Moment, wou déi zwee ophalen sech eens ze sinn.

Private DNS gehéiert op déiselwecht Plaz. En Numm, deen zu enger Adress opléisst, déi vun der betreffender Säit aus onbrauchbar ass, ass e Dokumentatiounsfehler mat engem Supportticket drun, an et wäert den Tunnel beschëllegt ginn.

Hängt d'Déngschtfuerderung drun

E geschützte Beräich ass keng Erlaabneslëscht. Notéiert, wéi eng Déngschter vun wéi enger Quell aus erreechbar solle sinn, a wien d'Applikatioun dohannert besëtzt. Déi zwou Felder beäntweren ënnerschiddlech Froen, an se ze vermëschen ass de Wee, wéi eng Sécherheetsiwwerpréiwung um Enn iwwer Routing amplaz iwwer Zougrëff diskutéiert.

Dann nennt den Netzwierkadministrator, deen d'Regel ënnerhält. Eng Selektorsinventur ouni Besëtzer altert stëll, an Alters ass net vu Falschem z'ënnerscheeden, wann den Tunnel um zwou Auer moies brécht. De Besëtzer ass och déi Persoun, déi bestätege kann, datt eng Ännerung absichtlech war.

Maacht d'Protokoll zu engem Testplang

Fir all noutwendegen Wee wielt e representativen Quell- an Zilhost a notéiert déi erwaart Rut, den Déngscht an de Réckäntwert-Gateway. Dat mécht d'Dokument zu engem Testplang amplaz enger Beschreiwung. Liest d'lieweg Associatioun mam Befehl hei drënner, a vergläicht se mat der ausgehandelter Zeil, déi Dir opgeschriwwen hutt.

swanctl --list-sas

E Skelett vu fënnef Linnen ass normalerweis genuch, fir d'Protokoll éierlech ze halen. D'Versioun hei drënner passt ouni Kierzung an en Ännerungsticket:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

E Ping nëmmen op de Gateway ass net den Akzeptanztest. Hien exercéiert ni de Transitwee, sou datt hie ka passéieren, während all weidergeleet Flux feelt. Test vun engem Host op enger Säit op en Déngscht op der anerer Säit a bestätegt, datt d'Äntwert duerch den Tunnel ukommt. Wa just de Ping passéiert, huet d'Protokoll just de Weiderleeungsproblem fonnt, fir deen et geschriwwe gouf. strongSwan-Dokumentatioun iwwer Weiderleeung erkläert, wéi Selektoren, Ruten an Weiderleeung op enger Linux-Géigesäit zesummespillen.