Ką įrašyti kuriant VPN tarp svetainių: selektoriai ir apimtis

Praėjus šešiems mėnesiams po tunelio paleidimo naujas potinklis nustoja atitikti politiką, o vienintelis bendrinamame diske esantis dokumentas sako biuro VPN. Tai gedimas, kurio išvengia selektorių įrašas, ir jis konkretus: adresų rinkinys pasikeitė, o dokumentai ne. Teisingai parašyti įrašą reiškia žinoti, kurį iš kelių adresų rinkinių aprašote, ir įrašyti tą, kurį kita pusė iš tikrųjų taiko, o ne tą, kurį sukonfigūravote.

Sukonfigūruota nėra suderėta

Politika pagrįstame IPsec tunelyje kiekviena pusė siūlo srauto selektorius: šaltinio ir paskirties diapazonus antrinei asociacijai. Atsakanti pusė gali susiaurinti tą pasiūlymą , todėl įdiegta asociacija gali apimti mažiau, nei išvardija konfigūracija. Todėl konfigūraciją kopijuojantis įrašas aprašo ketinimą, o ne dabartinę apsaugos apimtį. Abu tyliai išsiskiria, ir niekas tunelio būsenos puslapyje į tai nenurodo.

Laikykite abu stulpelius su data, kai juos stebėjote. Sukonfigūruotas selektorius yra tai, ką turėjote omenyje; suderėtasis yra tai, ką branduolys dabar taiko. Kai jie skiriasi, šis skirtumas paaiškina netikėtą gedimą daug dažniau nei maršrutizavimo klaida.

Viena asociacija taip pat neatstovauja kiekvienos sukonfigūruotos poros. Tunelis su keliais selektorių deriniais gali baigtis keliomis antrinėmis asociacijomis, o įrašas, išvardijantis vieną iš jų, yra dalinė inventorizacija. Išvardykite jas, o ne apibendrinkite.

Maršrutu pagrįsti tuneliai pasirenka kitaip

Su maršrutu pagrįsta sąsaja maršrutų lentelė nusprendžia, kas patenka į tunelį, o selektoriai gali būti tyčia platūs. Tai teisėtas dizainas, o ne aplaidumas, ir įrašas turi jį taip aprašyti. Užrašykite maršrutą, sąsają, į kurią jis nukreiptas, ir ugniasienės politiką, ribojančią, kurios paslaugos pasiekiamos. Apsaugos apimtis tyčia plati, o susiaurinimą atlieka paslaugų apimtis.

Politika pagrįsto šablono kopijavimas į maršrutu pagrįstą tunelį sukuria dokumentą, aprašantį mechanizmą, kurio diegimas nenaudoja. Kitas inžinierius tada ieško selektorių, kurių ten niekada neturėjo būti, ir daro išvadą, kad tunelis sukonfigūruotas neteisingai, kai jis tik prastai dokumentuotas.

Vertimas priklauso tai pačiai lentelei

Kai NAT pateikia kitai pusei kitą diapazoną, užrašykite pradinius ir išverstus prefiksus kartu. Pažymėkite etapą, kuriame selektoriai ir prieigos taisyklės juos suderina, nes tvarka nusprendžia, ar tolimoji pusė kada nors pamatys jūsų užrašytą adresą. Lentelė su tik vienu iš dviejų diapazonų yra blogiau nei jokia lentelė, nes ji atrodo išsami.

Tai ta detalė, kuri po NAT pakeitimo sugriauna veikiantį tunelį: selektorius vis dar atitinka pradinį prefiksą, kita pusė dabar gauna išverstą, o jos grįžimo maršrutas rodo į adresą, kurio nebėra. Niekas neužregistruoja klaidos tuo metu, kai abu nustoja sutarti.

Privatus DNS priklauso tai pačiai vietai. Vardas, kuris išsprendžiamas į adresą, netinkamą naudoti iš atitinkamos svetainės, yra dokumentacijos klaida su pridėtu palaikymo bilietu, ir dėl to bus kaltinamas tunelis.

Pridėkite paslaugos reikalavimą

Apsaugotas diapazonas nėra leidimų sąrašas. Užrašykite, kurios paslaugos turi būti pasiekiamos iš kurio šaltinio, ir kam priklauso už jų esanti programa. Šie du laukai atsako į skirtingus klausimus, o jų painiojimas yra būdas, kuriuo saugumo peržiūra galiausiai ginčijasi dėl maršrutizavimo, o ne prieigos.

Tada įvardykite tinklo administratorių, kuris prižiūri taisyklę. Selektorių inventorius be savininko tyliai sensta, o pasenusio negalima atskirti nuo klaidingo, kai tunelis sugenda antrą valandą nakties. Savininkas taip pat yra asmuo, galintis patvirtinti, kad pakeitimas buvo tyčinis.

Paverskite įrašą bandymų planu

Kiekvienam reikalingam keliui pasirinkite reprezentatyvų šaltinio ir paskirties hostą ir užrašykite laukiamą maršrutą, paslaugą ir atsakymo šliuzą. Tai paverčia dokumentą bandymų planu, o ne aprašymu. Perskaitykite gyvą asociaciją žemiau esančia komanda ir palyginkite ją su užrašyta suderėta eilute.

swanctl --list-sas

Penkių eilučių skeletas paprastai pakanka, kad įrašas liktų sąžiningas. Žemiau esanti versija telpa į pakeitimo bilietą be kirpimo:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping tik į šliuzą nėra priėmimo testas. Jis niekada nepratina tranzitinio kelio, todėl gali praeiti, nors kiekvienas persiunčiamas srautas nepavyksta. Bandykite iš vienos pusės hosto į kitos pusės paslaugą ir patvirtinkite, kad atsakymas ateina per tunelį. Jei praeina tik ping, įrašas ką tik rado tą persiuntimo problemą, kuriai užkirsti kelią buvo parašytas. strongSwan persiuntimo dokumentacija paaiškina, kaip selektoriai, maršrutai ir persiuntimas sąveikauja Linux partnerio pusėje.