Што да се запише за VPN меѓу локации: селектори и опфат

Шест месеци откако тунелот е пуштен во работа, нова подмрежа престанува да се совпаѓа со политиката, а единствениот документ на споделениот диск вели „VPN на канцеларијата“. Токму таков неуспех спречува записот за селектори, и тој е конкретен: множеството адреси се промени, а документацијата не. Правилно да се напише записот значи да се знае кое од неколкуте множества адреси го опишувате, и да се запише она што другата страна навистина го применува, а не она што сте го конфигурирале.

Конфигурирано не е договорено

Во IPsec тунел заснован на политики, секоја страна предлага селектори на сообраќај: опсези на извор и одредиште за подредената асоцијација. Одговорната страна смее да го стесни тој предлог, па инсталираната асоцијација може да покрива помалку отколку што наведува конфигурацијата. Запис што ја препишува конфигурацијата опишува намера, а не тековниот опфат на заштита. Двете тивко се разидуваат, и ништо на страницата со состојба на тунелот не го покажува тоа.

Држете ги двете колони, со датумот кога сте ги набљудувале. Конфигурираниот селектор е она што сте го мислеле; договорениот е она што кернелот го применува во моментов. Кога се разликуваат, таа разлика објаснува неочекуван неуспех многу почесто отколку грешка во рутирањето.

Една асоцијација исто така не го претставува секој конфигуриран пар. Тунел со неколку комбинации на селектори може да заврши со неколку подредени асоцијации, а записот што наведува една од нив е делумен попис. Набројте ги наместо да ги сумирате.

Тунелите засновани на рути избираат поинаку

Со интерфејс заснован на рути, табелата за рутирање одлучува што влегува во тунелот, а селекторите можат намерно да бидат широки. Тоа е легитимен проект, а не небрежност, и записот тоа така мора да го опише. Запишете ја рутата, интерфејсот на кој покажува и политиката на огнениот ѕид што ограничува кои услуги се достапни. Опфатот на заштита е намерно широк, а стеснувањето го прави опфатот на услугите.

Препишувањето на шаблон заснован на политики врз тунел заснован на рути дава документ што опишува механизам што распоредувањето не го користи. Следниот инженер потоа бара селектори што никогаш не требало да бидат таму и заклучува дека тунелот е погрешно конфигуриран, кога само е лошо документиран.

Преводот припаѓа во истата табела

Кога NAT ѝ прикажува поинаков опсег на другата страна, запишете ги оригиналните и преведените префикси заедно. Забележете ја фазата во која селекторите и правилата за пристап се совпаѓаат со нив, бидејќи редоследот одлучува дали далечната страна некогаш ќе ја види адресата што сте ја запишале. Табела со само еден од двата опсези е полоша од никаква табела, зашто изгледа целосна.

Ова е детаљот што крши тунел што работи по промена на NAT: селекторот и понатаму се совпаѓа со оригиналниот префикс, другата страна сега прима преведен, а нејзината повратна рута покажува на адреса што повеќе не постои. Ништо не запишува грешка во моментот кога двете престануваат да се совпаѓаат.

Приватниот DNS спаѓа на истото место. Име што се разрешува во адреса неупотреблива од соодветната локација е грешка во документацијата со прикачен тикет за поддршка, и ќе му се припише на тунелот.

Приложете го барањето за услуга

Заштитен опсег не е список на дозволи. Запишете кои услуги треба да бидат достапни од кој извор и кој е сопственик на апликацијата зад нив. Тие две полиња одговараат на различни прашања, а нивното мешање е начинот на кој безбедносниот преглед завршува расправајќи за рутирање наместо за пристап.

Потоа наведете го мрежниот администратор што го одржува правилото. Попис на селектори без сопственик тивко застарува, а застареното не се разликува од погрешното кога тунелот ќе падне во два часот наутро. Сопственикот е и лицето што може да потврди дека промената била намерна.

Претворете го записот во план за тестирање

За секоја потребна патека изберете претставнички хост-извор и хост-одредиште и забележете ја очекуваната рута, услугата и гејтвејот на одговорот. Тоа го претвора документот во план за тестирање, а не во опис. Прочитајте ја активната асоцијација со командата подолу и споредете ја со договорениот ред што сте го запишале.

swanctl --list-sas

Скелет од пет реда обично е доволен за записот да остане чесен. Верзијата подолу се собира во тикет за промена без скратување:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Пинг само до гејтвејот не е прифатлив тест. Тој никогаш не ја поминува транзитната патека, па може да помине додека секој проследен тек не успева. Тестирајте од хост на едната страна до услуга на другата и потврдете дека одговорот пристигнува низ тунелот. Ако помине само пингот, записот штотуку го најде проблемот со проследувањето што требало да го спречи. документацијата на strongSwan за проследување објаснува како селекторите, рутите и проследувањето делуваат заедно на Linux јазол.