Ar viena WAN sąsaja gali aptarnauti ir VPN tarp svetainių, ir nuotolinį VPN?

Vienas viešas adresas gali vienu metu aptarnauti filialo tunelį ir klajojančių naudotojų telkinį. Tačiau jis negali aptarnauti vienos bendros priėmimo taisyklės. Filialo partneris ir klajojantis naudotojas skiriasi tuo, kuo jie teigia esą, kaip tas įrodymas tikrinamas, kokius adresus jie gauna ir kurie prefiksai gali jiems atsakyti. Kai išorinį adresą pradedate traktuoti kaip transporto detalę, o ne kaip tapatybę, projektas tampa daug paprastesnis.

Greitas sveiko proto testas: pabandykite parašyti abu priėmimo įrašus, prieš liesdami maršrutizatorių. Jei viena atitikimo sąlyga turi apimti abu, politika jau dviprasmė, o pirmasis simptomas atrodys kaip maršrutizavimo ar ugniasienės gedimas, nors iš tikrųjų tai tapatybės gedimas.

Du įrašai prieš bet kokią konfigūraciją

Filialo įrašas trumpas ir stabilus. Jame išvardijamas partnerio adresas arba sertifikato pavadinimas, iš anksto bendrinamas raktas arba sertifikato pasitikėjimo taškas, apsaugoti potinkliai abiejose pusėse, tunelio sąsaja ir statinis maršrutas, siunčiantis į filialą skirtą srautą į tą tunelį. Kiekvienas laukas susijęs su vienu žinomu partneriu ir fiksuotu prefiksų rinkiniu.

Klajojimo įrašas platesnis ir asmeniškesnis. Jame išvardijamas kliento protokolas ir prievadas, kaip naudotojas ar įrenginys autentifikuojasi, prisijungiant išduodamas adresų telkinys, ištekliai, kuriuos tas telkinys gali pasiekti, padalyto tunelio prefiksai, klientui stumiami DNS serveriai ir bet koks antrasis veiksnys. Kiekvienas laukas atsako į klausimą apie nežinomą naudotojų skaičių, o ne apie vieną tinklų sietuvą.

Būtent šis detalumo skirtumas yra visa priežastis, kodėl du vaidmenys išsiskiria. Filialo profilis gali saugiai pasitikėti vienu raktu, nes raktas priklauso vienam įrenginiui vienoje vietoje. Klajojimo profilis, pasitikintis vienu grupiniu raktu visiems, sugriauna atskaitomybę pagal naudotoją, ir tai paprastai atrandama vėliau, incidento apžvalgoje, o ne diegimo metu.

Kur išsiskiria partnerių suderinimas ir autentifikavimas

IOS XE IKEv2 profilis neša parametrus, dėl kurių negalima derėtis, ir sąlygas, naudojamas partneriui parinkti. Tai reiškia, kad filialo pusė ir klajojimo pusė kiekviena turi savo profilį, net kai jos baigiasi toje pačioje sąsajoje ir net kai dalijasi viena kriptografine PKI. Cisco dokumentuoja profilio, autentifikavimo ir suderinimo vaidmenis savo IKEv2 konfigūravimo vadove, skirtame IOS XE 17.

Filialo profilis paprastai atitinka siaurą tapatybę: nuotolinį adresą, FQDN arba sertifikato subjektą. Kažkas panašaus į match identity remote address 198.51.100.10 255.255.255.255 pritvirtina vieną partnerį, o authentication remote pre-share su kiekvienai vietai saugomu raktu pakanka. Laikykite atitikimą kuo konkretesnį, kiek leidžia partnerių sąrašas, nes persidengiantis pakaitos simbolis, esantis aukščiau parinkimo tvarkoje, gali įtraukti filialo srautą į netinkamą profilį.

Klajojimo profilis negali pritvirtinti adreso, todėl jis atitinka grupę, key-id arba sertifikato lauką, o tada tikrąjį naudotojo patikrinimą perduoda AAA arba su profiliu susietai autorizacijos politikai. Šis atskyrimas svarbus: partnerio autentifikavimas atsako, ar klientui leidžiama statyti tunelį, o autorizacija pagal naudotoją atsako, kokį telkinį ir kokius išteklius jis gauna. Filialo rakto naudojimas kaip universalaus prisijungimo išmeta antrąjį atsakymą.

Persiuntimui ir vertimui reikia to paties atskyrimo

Priėmimas ir pasiekiamumas yra atskiros problemos. Sėkmingas IKE ir IPsec mainas įrodo, kad šalys sutaria dėl raktų; jis nesukuria maršruto į telkinį, kurį klientas gavo. Todėl nuotolinės prieigos telkiniams reikia grįžimo kelio: statinio maršruto į tunelio sąsają arba maršrutizavimo protokolo, įterpiančio telkinio suvestinę. Filialo prefiksai paprastai ateina per tą patį maršrutizavimo procesą, kuris aptarnauja likusią vietą.

Vertimas yra vieta, kur du vaidmenys dažniausiai susiduria. Srautas tarp vietų, kuris turi išlaikyti savo privačius adresus, turi išimtį iš NAT, apribotą tais dviem prefiksais, abiem kryptimis. Klajojantiems klientams paprastai taip pat reikia išimties jų srautui tunelyje, bet jų srautas į internetą arba apeina tunelį per padalytą tunelį, arba išeina prie koncentratoriaus po NAT. Visko, kas ateina iš tunelio, išėmimas yra klasikinė klaida, nes taip vertimas atimamas ir iš srauto, kuriam jo tikrai reikia.

Laikykite išimčių taisykles tokias siauras kaip priėmimo taisykles. Jei telkinio suvestinė ir filialo prefiksas persidengia, grįžimo kelias tampa dviprasmis gerokai anksčiau, nei numetamas bet kuris paketas, o simptomas pasirodo kaip vieta, kuri kartkartėmis praranda potinklį, o ne kaip švarus tunelio gedimas.

Priėmimo atvejai, atskleidžiantys sukryžiuotą politiką

Sukurkite keturis atvejus ir paleiskite juos iš eilės. Filialo kompiuteris pasiekia tik filialui skirtą išteklių. Klajojantis klientas pasiekia tą patį išteklių per savo telkinio adresą. Klajojantis klientas bando filialo prefiksą, kurio neturėtų liesti. Filialo partneris bando gauti adresą iš nuotolinės prieigos telkinio. Du paskutiniai ir pagauna bendrą profilį, nes įprastoje stebėsenoje jie tyliai nepavyksta.

Tada patvirtinkite duomenų plokštumą, o ne konfigūraciją. show crypto ikev2 sa ir show crypto ipsec sa pasako, kuris profilis ir kurie selektoriai nešė kiekvieną srautą, o show ip nat translations ir tunelio skaitikliai rodo, ar grįžimo kelias ir išimtis iš tikrųjų sutapo. Tracer arba paketų fiksavimas tunelio sąsajoje uždaro ciklą.

Šalia kiekvieno rezultato užrašykite stebėtą tapatybę, telkinio adresą ir pasirinktą politiką. Bėgimas baigtas, kai kiekvienas atvejis atitinka tiksliai vieną įrašą ir nė vienam atvejui nereikia laikinos išimties, kad praeitų.