Може ли еден WAN интерфејс да опслужува и VPN меѓу локации и далечински пристап?

Една јавна адреса може истовремено да опслужува тунел до филијала и базен роаминг корисници. Но не може да опслужува едно заедничко правило за прием. Партнерот на филијалата и роаминг корисникот се разликуваат по тоа како се претставуваат, како се проверува тој доказ, кои адреси ги добиваат и кои префикси смеат да им одговорат. Штом надворешната адреса ја третирате како детал за транспорт, а не како идентитет, дизајнот станува многу поедноставен.

Брз тест за разумност: обидете се да ги напишете двата записи за прием пред да го допрете рутерот. Ако еден услов за совпаѓање мора да ги покрие двата, политиката е веќе двосмислена, а првиот симптом ќе изгледа како дефект во рутирањето или во ѕидот за заштита, иако всушност е дефект во идентитетот.

Два записи пред секоја конфигурација

Записот за филијалата е краток и стабилен. Тој ја наведува адресата на партнерот или името на сертификатот, однапред споделениот клуч или доверната точка на сертификатот, заштитените подмрежи од двете страни, интерфејсот на тунелот и статичната рута што го испраќа сообраќајот кон филијалата во тој тунел. Секое поле се однесува на еден познат партнер и фиксен сет префикси.

Записот за роаминг е поширок и поличен. Тој ги наведува протоколот и портата на клиентот, како се автентикува корисник или уред, базенот со адреси што се доделува при поврзување, ресурсите до кои тој базен смее да стигне, префиксите на поделениот тунел, DNS серверите што се туркаат кон клиентот и секој втор фактор. Секое поле одговара на прашање за непознат број корисници, а не за еден портал.

Токму таа разлика во деталноста е целата причина двете улоги да се разделат. Профилот за филијала може безбедно да се потпре на еден клуч, бидејќи клучот припаѓа на еден уред на една локација. Профилот за роаминг што се потпира на еден групен клуч за сите ја урива одговорноста по корисник, а тоа обично се открива подоцна, при разгледување на инцидент, а не при воведувањето.

Каде се разделуваат совпаѓањето на партнерите и автентикацијата

На IOS XE профилот IKEv2 ги носи параметрите за кои не може да се преговара и условите што се користат за избор на партнерот. Тоа значи дека страната на филијалата и страната на роамингот имаат потреба секоја од свој профил, дури и кога завршуваат на истиот интерфејс и дури и кога делат една криптографска PKI. Cisco ги документира улогите на профилот, автентикацијата и совпаѓањето во своето упатство за конфигурирање на IKEv2 за IOS XE 17.

Профилот за филијалата обично се совпаѓа со тесен идентитет: далечна адреса, FQDN или субјект на сертификат. Нешто како match identity remote address 198.51.100.10 255.255.255.255 закачува еден партнер, а authentication remote pre-share со клуч чуван за секоја локација е доволно. Држете го совпаѓањето онолку конкретно колку што дозволува пописот на партнери, бидејќи преклопен џокер повисоко во редоследот на избор може да го повлече сообраќајот на филијалата во погрешниот профил.

Профилот за роаминг не може да закачи адреса, па затоа се совпаѓа со група, key-id или поле од сертификат, а потоа вистинската проверка на корисникот ја предава на AAA или на политиката за авторизација прикачена на профилот. Ова разделување е важно: автентикацијата на партнерот одговара дали на клиентот му е дозволено да изгради тунел, а авторизацијата по корисник одговара кој базен и кои ресурси ги добива. Користењето на клучот на филијалата како универзална најава го фрла вториот одговор.

Препраќањето и преводот имаат потреба од истото разделување

Приемот и достапноста се одделни проблеми. Успешната размена на IKE и IPsec докажува дека страните се согласни за клучевите; таа не создава рута до базенот што клиентот го добил. Затоа базените за далечински пристап имаат потреба од повратен пат: или статична рута кон интерфејсот на тунелот, или протокол за рутирање што го вметнува резимето на базенот. Префиксите на филијалата обично доаѓаат низ истиот процес на рутирање што го опслужува остатокот од локацијата.

Преводот е местото каде двете улоги најчесто се судираат. Сообраќајот меѓу локации што мора да ги задржи своите приватни адреси има потреба од изземање од NAT ограничено на тие два префикса, во двете насоки. Роаминг клиентите обично имаат потреба и од изземање за сообраќајот во тунелот, но нивниот сообраќај кон интернет или го заобиколува тунелот преку поделен тунел, или излегува кај концентраторот по NAT. Изземањето на сето што доаѓа од тунел е класична грешка, бидејќи му го одзема преводот и на сообраќајот на кој навистина му е потребен.

Држете ги правилата за изземање тесни како правилата за прием. Ако резимето на базенот и префиксот на филијалата се преклопат, повратниот пат станува двосмислен многу пред да биде отфрлен кој било пакет, и симптомот се појавува како локација што повремено губи подмрежа, а не како чист дефект на тунелот.

Случаи за прием што откриваат вкрстена политика

Изградете четири случаи и изведете ги по ред. Домаќин во филијалата стигнува до ресурс само за филијалата. Роаминг клиент стигнува до истиот ресурс преку адресата од својот базен. Роаминг клиент се обидува да стигне префикс на филијалата што не смее да го допре. Партнер на филијалата се обидува да добие адреса од базенот за далечински пристап. Последните два ги фаќаат споделениот профил, бидејќи во нормалното следење тие тивко пропаѓаат.

Потоа потврдете ја рамнината на податоци, а не конфигурацијата. show crypto ikev2 sa и show crypto ipsec sa кажуваат кој профил и кои селектори го носеле секој тек, а show ip nat translations и бројачите на тунелот покажуваат дали повратниот пат и изземањето навистина се совпаднале. Трагач или фаќање пакети на интерфејсот на тунелот ја затвора јамката.

Запишете го забележаниот идентитет, адресата од базенот и избраната политика до секој резултат. Извршувањето е завршено кога секој случај одговара на точно еден запис и ниту еден случај нема потреба од привремено изземање за да помине.