Ko reģistrēt vietņu VPN: selektori un tvērums

Sešus mēnešus pēc tuneļa nodošanas ekspluatācijā jauns apakštīkls pārstāj atbilst politikai, un vienīgais koplietotajā vidē esošais dokuments saka biroja VPN. Tas ir bojājums, ko novērš selektoru ieraksts, un tas ir konkrēts: adrešu kopa mainījās, bet papīri ne. Ierakstu pareizi uzrakstīt nozīmē zināt, kuru no vairākām adrešu kopām jūs aprakstāt, un reģistrēt to, ko otras gals faktiski piemēro, nevis to, ko jūs konfigurējāt.

Konfigurētais nav saskaņotais

Uz politiku balstītā IPsec tunelī katra puse ierosina trafika selektorus: avota un galamērķa diapazonus bērna asociācijai. Atbildošā puse drīkst sašaurināt šo ierosinājumu , tāpēc instalētā asociācija var aptvert mazāk, nekā uzskaita konfigurācija. Ieraksts, kas kopē konfigurāciju, tāpēc apraksta nodomu, nevis pašreizējo aizsardzības tvērumu. Abi klusi atšķiras, un nekas tuneļa statusa lapā uz to nenorāda.

Saglabājiet abas kolonnas ar datumu, kad tās novērojāt. Konfigurētais selektors ir tas, ko jūs domājāt; saskaņotais ir tas, ko kodols tagad piemēro. Kad tie atšķiras, šī atšķirība izskaidro negaidītu bojājumu daudz biežāk nekā maršrutēšanas kļūda.

Viena asociācija arī neatspoguļo katru konfigurēto pāri. Tunelis ar vairākām selektoru kombinācijām var beigties ar vairākām bērna asociācijām, un ieraksts, kas uzskaita vienu no tām, ir daļējs uzskaitījums. Uzskaitiet tās, nevis apkopojiet.

Uz maršrutu balstīti tuneļi izvēlas citādi

Ar uz maršrutu balstītu saskarni maršrutēšanas tabula izlemj, kas iekļūst tunelī, un selektori var būt apzināti plati. Tas ir likumīgs dizains, nevis nolaidība, un ierakstam tas tā jāapraksta. Pierakstiet maršrutu, saskarni, uz kuru tas norāda, un ugunsmūra politiku, kas ierobežo, kuri pakalpojumi ir sasniedzami. Aizsardzības tvērums ir apzināti plats, un sašaurināšanu veic pakalpojumu tvērums.

Uz politiku balstītas veidnes kopēšana uz uz maršrutu balstītu tuneli rada dokumentu, kas apraksta mehānismu, ko izvietošana neizmanto. Nākamais inženieris tad meklē selektorus, kuriem tur nekad nevajadzēja būt, un secina, ka tunelis ir nepareizi konfigurēts, lai gan tas ir tikai slikti dokumentēts.

Tulkojums pieder tai pašai tabulai

Kad NAT otras puses priekšā parāda citu diapazonu, pierakstiet sākotnējos un tulkotos prefiksus kopā. Atzīmējiet posmu, kurā selektori un piekļuves noteikumi tos saskaņo, jo secība izlemj, vai tālā puse kādreiz redzēs jūsu pierakstīto adresi. Tabula ar tikai vienu no diviem diapazoniem ir sliktāka par tabulas neesamību, jo tā izskatās pilnīga.

Šī ir detaļa, kas pēc NAT maiņas salauž strādājošu tuneli: selektors joprojām atbilst sākotnējam prefiksam, otra puse tagad saņem tulkoto, un tās atgriešanās maršruts norāda uz adresi, kas vairs neeksistē. Nekas nefiksē kļūdu brīdī, kad abi pārstāj saskanēt.

Privātais DNS pieder tajā pašā vietā. Vārds, kas atrisinās uz adresi, kuru no attiecīgās vietnes nevar izmantot, ir dokumentācijas kļūda ar pievienotu atbalsta biļeti, un vaina tiks uzlikta tunelim.

Pievienojiet pakalpojuma prasību

Aizsargātais diapazons nav atļauju saraksts. Pierakstiet, kuri pakalpojumi ir jāsasniedz no kura avota, un kam pieder aiz tiem esošā lietojumprogramma. Šie divi lauki atbild uz dažādiem jautājumiem, un to sajaukšana ir veids, kā drošības pārskats beigās strīdas par maršrutēšanu, nevis piekļuvi.

Pēc tam nosauciet tīkla administratoru, kurš uztur noteikumu. Selektoru uzskaitījums bez īpašnieka klusi noveco, un novecojušo nevar atšķirt no kļūdainā, kad tunelis sabrūk divos naktī. Īpašnieks ir arī persona, kas var apstiprināt, ka izmaiņas bija apzinātas.

Pārvērtiet ierakstu testa plānā

Katram nepieciešamajam ceļam izvēlieties reprezentatīvu avota un galamērķa resursdatoru un pierakstiet gaidāmo maršrutu, pakalpojumu un atbildes vārteju. Tas pārvērš dokumentu testa plānā, nevis aprakstā. Nolasiet dzīvo asociāciju ar zemāk esošo komandu un salīdziniet to ar pierakstīto saskaņoto rindu.

swanctl --list-sas

Piecu rindu skelets parasti ir pietiekams, lai ieraksts paliktu godīgs. Zemāk esošā versija ietilpst izmaiņu biļetē bez apcirpšanas:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Pings tikai uz vārteju nav pieņemšanas tests. Tas nekad nevingrina tranzīta ceļu, tāpēc var iziet, kamēr katra pārsūtītā plūsma cieš neveiksmi. Pārbaudiet no resursdatora vienā pusē uz pakalpojumu otrā pusē un apstipriniet, ka atbilde nāk pa tuneli. Ja iziet tikai pings, ieraksts tikko ir atradis to pārsūtīšanas problēmu, kuras novēršanai tas tika rakstīts. strongSwan pārsūtīšanas dokumentācija izskaidro, kā selektori, maršruti un pārsūtīšana mijiedarbojas Linux partnera pusē.