Plašs IPsec selektors nav atļauja visiem servisiem

Divi partneri vienojas aizsargāt visu apakštīklu, un kāds nolasa šo vienošanos kā atļauju sasniegt katru servisu tajā. Tas ir mīts: selektors norāda, kādu datplūsmu tunelis ir gatavs pārvadāt, un tas neko nesaka par to, kurus servisus organizācija atļauj. Ierīču pāris var likumīgi vienoties par plašu adrešu diapazonu, kamēr piekļuves politika tajā atļauj divus portus, un abi apgalvojumi paliek patiesi vienlaikus.

Aizsargātā aptvere nav pilnvarojums

Datplūsmas selektors ir daļa no tuneļa vienošanās. Tas sašaurina vai apstiprina to, ko partneri šifrēs savā starpā, un plašs selektors bieži ir vienkāršākā lieta, ko uzturēt, kad abām pusēm ir daudz plūsmu. Servisa filtrs ir cita kontrole citā ceļa punktā, un tas izlemj, ko drīkst faktiski izmantot pēc tam, kad pakete ir atšifrēta. Filtrs pie noņemšanas, lai izturētu vienu testu, pārvērš politikas lēmumu negadījumā.

Glabājiet abus ierakstus atsevišķi projektēšanas dokumentā, jo lasītājs, kas redz tikai selektoru, secinās pilnvarojumu, kas nekad nav piešķirts. Divas rindas izmaiņu ierakstā to novērš, un tās aizņem mazāk laika nekā strīds, kas seko.

Aprakstiet vienu plūsmu no abiem galiem

Pierakstiet iniciatoru, atbildētāju, avotu un galamērķi tā, kā tie uzrādīti, protokolu un abus portus. Pēc tam apgrieziet katru no šiem apzīmējumiem otram galapunktam, jo klienta īslaicīgais avota ports kļūst par atbildes galamērķa portu un attālais tīkls kļūst par vietējo. Konfigurācija, kas nokopēta no vienas puses uz otru bez šīs apgriešanas, ir iemesls, kāpēc filtri galu galā atļauj tieši nepareizo virzienu. Pierakstiet tabulu vienreiz un veidojiet abus filtrus no tās.

Vienojieties par atlases modeli pirms jebkā kopēšanas, jo uz politiku balstīts projekts un uz maršrutiem balstīts projekts izsaka vienu un to pašu nodomu ar dažādiem objektiem. Pierakstiet modeļa nosaukumu blakus plūsmai, citādi nākamais inženieris pavadīs pēcpusdienu, salīdzinot objektus, kas nekad nebija salīdzināmi.

Atrodiet filtru, kas faktiski tiek piemērots

ASA ierīcē VPN filtrs ir ACL, kas pievienots grupas politikai un tiek piemērots pēc atšifrēšanas un pirms šifrēšanas datplūsmai. Cisco grupas politikas dokumentācija apraksta arī mantojumu, tostarp lietotāja līmeņa vērtību, kas aizstāj grupas politikas vērtību. Tāpēc ACL, ko rediģējāt, var nebūt tas ACL, kas pārvalda jūsu priekšā esošo sesiju. Tas pats attiecas uz lietotāja objektu, kas var ignorēt grupu, neatstājot daudz redzamu pierādījumu.

Pārbaudiet faktisko sesiju, nevis objektu, kuru atceraties mainījis, un atzīmējiet, kurš politikas objekts to nodrošina. Šis viens solis atrisina pārsteidzoši daudz ziņojumu „filtrs ir pareizs, bet tas nedarbojas“.

Virziens, porti un pretējais gadījums

Dokumentētā konvencija ievieto attālo tīklu vai piešķirtās attālā klienta adreses avota pozīcijā un vietējo tīklu galamērķa pozīcijā, atbildes izsakot, samainot adrešu pozīcijas. Portu noteikumi balstās uz šo konvenciju un pelna lielāku rūpību nekā adreses.

Dokumentētais modelis var ļaut galamērķa porta noteikumam ietekmēt pretēju iniciāciju, kas izmanto to pašu avota portu, kas nozīmē, ka filtrs nav vienkārši vienvirziena pieprasījuma noteikums ar nekaitīgām atbildēm. Pārdomājiet skaidri abus iniciācijas virzienus un iekļaujiet gadījumu, kuru plānojat noraidīt.

Tā pati dokumentācija ierobežo filtru ar sākotnējiem savienojumiem, tāpēc tas nav universāla katras sekundārās kanāla izpilde, ko atver pārbaudīta lietojumprogramma. Ja pilnajai politikai ir vajadzīga šī aptvere, tā pieder pie atsevišķas robežas, nevis ACL, kas tiek izstiepts pāri savam mērķim.

Pārbaudiet trīs gadījumus pirms paziņošanas, ka gatavs

Pieņemiet paredzēto plūsmu, noraidiet servisu, ko politika aizliedz, un izmēģiniet pretējā virziena gadījumu, par kuru spriedāt. Palaidiet tos saskaņā ar apstiprinātu plānu ar tām pašām identitātēm un selektoriem, ko izvietosiet. Tests, kas parāda tikai atļautā servisa darbību, parāda tuneli, nevis politiku.

Glabājiet sarunoto aptveri un piekļuves lēmumu kā divus ierakstus, jo, lai izskaidrotu, ko VPN atļauj, ir vajadzīgi abi.