Vai viena WAN saskarne var apkalpot gan starpvietņu, gan attālināto VPN?

Viena publiska adrese var vienlaikus apkalpot filiāles tuneli un klejojošu lietotāju pūlu. Taču tā nevar apkalpot vienu kopīgu piekļuves noteikumu. Filiāles partneris un klejojošais lietotājs atšķiras ar to, kas viņi apgalvo esam, kā šis pierādījums tiek pārbaudīts, kādas adreses viņi saņem un kuri prefiksi drīkst viņiem atbildēt. Tiklīdz ārējo adresi sākat uztvert kā transporta detaļu, nevis identitāti, dizains kļūst daudz vienkāršāks.

Ātrs veselā saprāta tests: mēģiniet uzrakstīt abus piekļuves ierakstus, pirms aiztiekat maršrutētāju. Ja vienam saskaņošanas nosacījumam jāaptver abi, politika jau ir neviennozīmīga, un pirmais simptoms izskatīsies kā maršrutēšanas vai ugunsmūra kļūda, lai gan patiesībā tā ir identitātes kļūda.

Divi ieraksti pirms jebkādas konfigurācijas

Filiāles ieraksts ir īss un stabils. Tajā uzskaitīta partnera adrese vai sertifikāta nosaukums, iepriekš kopīgota atslēga vai sertifikāta uzticības punkts, aizsargātie apakštīkli abās pusēs, tuneļa saskarne un statiskais maršruts, kas uz filiāli vērsto plūsmu sūta šajā tunelī. Katrs lauks attiecas uz vienu zināmu partneri un fiksētu prefiksu kopu.

Klejošanas ieraksts ir plašāks un personiskāks. Tajā uzskaitīts klienta protokols un ports, kā lietotājs vai ierīce autentificējas, savienojoties piešķirtais adrešu pūls, resursi, kurus šis pūls drīkst sasniegt, sadalītā tuneļa prefiksi, klientam piespiestie DNS serveri un jebkurš otrais faktors. Katrs lauks atbild uz jautājumu par nezināmu lietotāju skaitu, nevis par vienu vārteju.

Tieši šī detalizācijas atšķirība ir viss iemesls, kāpēc abas lomas atšķiras. Filiāles profils var droši paļauties uz vienu atslēgu, jo atslēga pieder vienai ierīcei vienā vietā. Klejošanas profils, kas paļaujas uz vienu grupas atslēgu visiem, sagrauj atbildību par katru lietotāju, un to parasti atklāj vēlāk, incidenta izskatīšanā, nevis ieviešanas laikā.

Kur atšķiras partneru saskaņošana un autentifikācija

IOS XE IKEv2 profils nes parametrus, par kuriem nevar vienoties, un nosacījumus, ar kuriem izvēlas partneri. Tas nozīmē, ka filiāles pusei un klejošanas pusei katrai vajadzīgs savs profils, pat ja tās beidzas vienā saskarnē un pat ja tās dala vienu kriptogrāfisku PKI. Cisco dokumentē profila, autentifikācijas un saskaņošanas lomas savā IKEv2 konfigurēšanas rokasgrāmatā IOS XE 17.

Filiāles profils parasti saskaņojas ar šauru identitāti: attālu adresi, FQDN vai sertifikāta subjektu. Kaut kas līdzīgs match identity remote address 198.51.100.10 255.255.255.255 piesprauž vienu partneri, un authentication remote pre-share ar katrai vietai glabātu atslēgu ir pietiekami. Turiet saskaņošanu pēc iespējas konkrētu, cik pieļauj partneru uzskaite, jo pārklājošs aizstājējzīme augstāk atlases kārtībā var ievilkt filiāles plūsmu nepareizajā profilā.

Klejošanas profils nevar piespraust adresi, tāpēc tas saskaņojas ar grupu, key-id vai sertifikāta lauku un pēc tam īsto lietotāja pārbaudi nodod AAA vai ar profilu saistītajai autorizācijas politikai. Šī atdalīšana ir svarīga: partnera autentifikācija atbild, vai klientam drīkst būvēt tuneli, un autorizācija par lietotāju atbild, kādu pūlu un kādus resursus viņš saņem. Filiāles atslēgas izmantošana kā universāla pieteikšanās atmet otro atbildi.

Pārsūtīšanai un tulkošanai vajadzīga tā pati atdalīšana

Piekļuve un sasniedzamība ir atsevišķas problēmas. Veiksmīga IKE un IPsec apmaiņa pierāda, ka puses vienojas par atslēgām; tā neizveido maršrutu uz pūlu, ko klients saņēma. Tāpēc attālinātās piekļuves pūliem vajadzīgs atgriešanās ceļš: statisks maršruts uz tuneļa saskarni vai maršrutēšanas protokols, kas ievada pūla kopsavilkumu. Filiāles prefiksi parasti nāk pa to pašu maršrutēšanas procesu, kas apkalpo pārējo vietu.

Tulkošana ir vieta, kur abas lomas visbiežāk saduras. Plūsmai starp vietām, kurai jāsaglabā savas privātās adreses, vajadzīgs NAT izņēmums, kas ierobežots ar šiem diviem prefiksiem, abos virzienos. Klejojošiem klientiem parasti vajadzīgs izņēmums arī viņu plūsmai tunelī, bet viņu plūsma uz internetu vai nu apiet tuneli caur sadalīto tuneli, vai iziet pie koncentratora pēc NAT. Visa, kas nāk no tuneļa, atbrīvošana ir klasiska kļūda, jo tā atņem tulkošanu arī plūsmai, kurai tā patiešām vajadzīga.

Turiet izņēmumu noteikumus tikpat šaurus kā piekļuves noteikumus. Ja pūla kopsavilkums un filiāles prefikss pārklājas, atgriešanās ceļš kļūst neviennozīmīgs daudz agrāk, nekā tiek nomests kāds pakets, un simptoms parādās kā vieta, kas laiku pa laikam zaudē apakštīklu, nevis kā tīrs tuneļa bojājums.

Pieņemšanas gadījumi, kas atklāj krustotu politiku

Izveidojiet četrus gadījumus un izpildiet tos pēc kārtas. Filiāles resursdators sasniedz tikai filiālei paredzētu resursu. Klejojošais klients sasniedz to pašu resursu caur sava pūla adresi. Klejojošais klients mēģina filiāles prefiksu, kuram tam nevajadzētu pieskarties. Filiāles partneris mēģina iegūt adresi no attālinātās piekļuves pūla. Pēdējie divi ir tie, kas notver kopīgu profilu, jo parastajā uzraudzībā tie klusi neizdodas.

Pēc tam apstipriniet datu plakni, nevis konfigurāciju. show crypto ikev2 sa un show crypto ipsec sa pasaka, kurš profils un kuri selektori nesa katru plūsmu, bet show ip nat translations un tuneļa skaitītāji rāda, vai atgriešanās ceļš un izņēmums tiešām sakrita. Tracer vai pakešu uztveršana uz tuneļa saskarnes noslēdz cilpu.

Pierakstiet novēroto identitāti, pūla adresi un izvēlēto politiku blakus katram rezultātam. Gājiens ir pabeigts, kad katrs gadījums atbilst tieši vienam ierakstam un nevienam gadījumam nav vajadzīgs pagaidu izņēmums, lai izietu.