Широк IPsec селектор не е дозвола за секоја услуга

Два партнери се согласуваат да заштитат цела подмрежа, а некој го чита тој договор како дозвола да стигне до секоја услуга во неа. Тоа е митот: селекторот кажува кој сообраќај тунелот е подготвен да го носи и не кажува ништо за тоа кои услуги ги дозволува организацијата. Две уреди можат законски да преговараат за широк опсег на адреси, додека политиката за пристап во него дозволува два порта, и двете тврдења остануваат точни во исто време.

Заштитеното покривање не е овластување

Селекторот на сообраќај е дел од договорот за тунелот. Тој го стеснува или потврдува она што партнерите ќе го шифрираат меѓу себе, а широкиот селектор често е наједноставното нешто за работа кога двете страни имаат многу текови. Филтерот за услуги е друга контрола на друга точка во патеката и одлучува што всушност смее да се користи откако пакетот е дешифриран. Отстранувањето на филтерот за да помине еден тест ја претвора политичката одлука во несреќен случај.

Чувајте ги двата записи одделно во документот за дизајн, бидејќи читателот што го гледа само селекторот ќе изведе овластување што никогаш не било доделено. Две линии во записот за промени го спречуваат тоа и одземаат помалку време од расправата што следи.

Опишете еден тек од двата краја

Запишете го иницијаторот, одговорникот, изворот и одредиштето како што се претставени, протоколот и двата порта. Потоа превртете ја секоја од тие ознаки за другиот крај, бидејќи привремениот изворен порт на клиентот станува одредишен порт на одговорот, а далечната мрежа станува локална. Конфигурацијата копирана од едната страна на другата без тоа превртување е причината зошто филтрите на крајот дозволуваат токму погрешниот правец. Запишете ја табелата еднаш и изградете ги двата филтри од неа.

Договорете го моделот на избор пред да копирате нешто, бидејќи дизајнот заснован на политика и дизајнот заснован на рути ја изразуваат истата намера преку различни објекти. Запишете го името на моделот до текот, инаку следниот инженер ќе потроши едно попладне совпаѓајќи објекти што никогаш не биле споредливи.

Најдете го филтерот што навистина се применува

На ASA, VPN филтерот е ACL прикачен на групна политика и применет на дешифриран и предшифриран сообраќај. Документацијата на Cisco за групни политики исто така опишува наследување, вклучително вредност на корисничко ниво што ја заменува вредноста на групната политика. Значи, ACL што го уредовте можеби не е ACL што ја управува сесијата пред вас. Истото важи и за корисничкиот објект, кој може да ја надмине групата без да остави многу видлив доказ.

Испитајте ја делотворната сесија, а не објектот за кој се сеќавате дека сте го смениле, и забележете кој објект на политиката ја обезбедува. Тој единствен чекор решава изненадувачки многу извештаи од типот „филтерот е точен, но не работи“.

Правецот, портите и обратниот случај

Документираната конвенција ја става далечната мрежа, или доделените адреси на далечинскиот клиент, во изворната позиција и локалната мрежа во одредишната позиција, при што одговорите се изразуваат со замена на позициите на адресите. Правилата за порти стојат врз таа конвенција и заслужуваат повеќе внимание отколку адресите.

Документираниот модел може да дозволи правило за одредишен порт да влијае на обратна иницијација што го користи истиот изворен порт, што значи дека филтерот не е едноставно еднонасочно правило за барање со безопасни одговори. Размислете експлицитно низ двата правци на иницијација и вклучете го случајот што имате намера да го одбиете.

Истата документација го ограничува филтерот на почетни врски, така што тоа не е универзално спроведување на секој секундарен канал што го отвора инспектирана апликација. Каде што целосната политика бара такво покривање, тоа припаѓа на одделна граница, а не на ACL што се растегнува надвор од својата цел.

Тестирајте три случаи пред да го прогласите за готово

Прифатете го предвидениот тек, одбијте услуга што политиката ја забранува и вежбајте го случајот со обратен правец за кој размислувавте. Извршете ги според одобрен план со истите идентитети и селектори што ќе ги распоредите. Тест што покажува само дека дозволената услуга работи го покажува тунелот, а не политиката.

Чувајте го договореното покривање и одлуката за пристап како два записи, бидејќи за да се објасни што дозволува VPN се потребни и двата.