Platus IPsec selektorius nėra leidimas visoms paslaugoms

Du partneriai susitaria apsaugoti visą potinklį, o kas nors perskaito tą susitarimą kaip leidimą pasiekti kiekvieną paslaugą jame. Tai mitas: selektorius nurodo, kokį srautą tunelis sutinka perduoti, ir nieko nesako apie tai, kokias paslaugas organizacija leidžia. Įrenginių pora gali teisėtai derėtis dėl plataus adresų diapazono, o prieigos politika jame leidžia du prievadus, ir abu teiginiai išlieka teisingi tuo pačiu metu.

Apsaugota aprėptis nėra įgaliojimas

Srauto selektorius yra tunelio susitarimo dalis. Jis susiaurina arba patvirtina, ką partneriai šifruos tarpusavyje, o platus selektorius dažnai yra paprasčiausias dalykas, kai abi pusės turi daug srautų. Paslaugų filtras yra kita priemonė kitame kelio taške ir nusprendžia, ką iš tikrųjų galima naudoti po to, kai paketas iššifruojamas. Pašalinti filtrą tam, kad praeitų vienas testas, reiškia politinį sprendimą paversti atsitiktinumu.

Laikykite abu įrašus atskirai projektavimo dokumente, nes skaitytojas, matantis tik selektorių, išves įgaliojimą, kuris niekada nebuvo suteiktas. Dvi eilutės pakeitimų įraše to neleidžia, ir jos užima mažiau laiko nei ginčas, kuris kyla po to.

Aprašykite vieną srautą iš abiejų galų

Užrašykite iniciatorių, atsakiklį, šaltinį ir paskirties vietą taip, kaip pateikta, protokolą ir abu prievadus. Tada apverskite kiekvieną iš tų žymų kitam galiniam taškui, nes kliento laikinas šaltinio prievadas tampa atsakymo paskirties prievadu, o nuotolinis tinklas tampa vietiniu. Konfigūracija, nukopijuota iš vienos pusės į kitą be to apvertimo, yra priežastis, kodėl filtrai galiausiai leidžia būtent ne tą kryptį. Užrašykite lentelę vieną kartą ir sukurkite abu filtrus pagal ją.

Sutarkite dėl atrankos modelio prieš ką nors kopijuodami, nes politika pagrįstas projektas ir maršrutais pagrįstas projektas išreiškia tą patį ketinimą per skirtingus objektus. Užrašykite modelio pavadinimą šalia srauto, kitaip kitas inžinierius praleis popietę lygindamas objektus, kurių niekada nebuvo galima lyginti.

Raskite filtrą, kuris iš tikrųjų taikomas

ASA įrenginyje VPN filtras yra ACL, prijungtas prie grupių politikos ir taikomas iššifruotam bei prieš šifravimą esančiam srautui. Cisco grupių politikos dokumentacija taip pat aprašo paveldėjimą, įskaitant naudotojo lygio reikšmę, kuri panaikina grupių politikos reikšmę. Taigi ACL, kurį redagavote, gali būti ne tas ACL, kuris valdo priešais esančią sesiją. Tas pats pasakytina apie naudotojo objektą, kuris gali nepaisyti grupės, nepalikdamas daug matomų įrodymų.

Tikrinkite veiksmingą sesiją, o ne objektą, kurį prisimenate keitę, ir atkreipkite dėmesį, kuris politikos objektas ją suteikia. Šis vienas žingsnis išsprendžia stebėtinai daug pranešimų „filtras teisingas, bet neveikia“.

Kryptis, prievadai ir atvirkštinis atvejis

Dokumentuota konvencija nuotolinį tinklą arba priskirtus nuotolinio kliento adresus įrašo į šaltinio poziciją, o vietinį tinklą į paskirties poziciją, atsakymus išreiškiant adresų pozicijų sukeitimu. Prievadų taisyklės remiasi ta konvencija ir nusipelno daugiau dėmesio nei adresai.

Dokumentuotas modelis gali leisti paskirties prievado taisyklei paveikti atvirkštinę inicijaciją, kuri naudoja tą patį šaltinio prievadą, o tai reiškia, kad filtras nėra paprasta vienkryptė užklausos taisyklė su nekenksmingais atsakymais. Aiškiai apgalvokite abi inicijavimo kryptis ir įtraukite atvejį, kurį ketinate atmesti.

Ta pati dokumentacija apriboja filtrą pradiniams ryšiams, todėl tai nėra universalus kiekvieno antrinio kanalo, kurį atidaro tikrinama programa, vykdymas. Kai visai politikai reikia tokios aprėpties, ji priklauso atskirai ribai, o ne ACL, kuris išstumiamas už savo paskirties.

Išbandykite tris atvejus prieš skelbdami, kad baigta

Priimkite numatytą srautą, atmeskite paslaugą, kurią politika draudžia, ir išbandykite atvirkštinės krypties atvejį, apie kurį galvojote. Vykdykite juos pagal patvirtintą planą su tomis pačiomis tapatybėmis ir selektoriais, kuriuos diegsite. Testas, kuris parodo tik leidžiamos paslaugos veikimą, parodo tunelį, o ne politiką.

Laikykite suderėtą aprėptį ir prieigos sprendimą kaip du įrašus, nes paaiškinti, ką VPN leidžia, reikia abiejų.