വിശാലമായ IPsec സെലക്ടർ എല്ലാ സേവനത്തിനും അനുമതിയല്ല

രണ്ട് പിയർമാർ ഒരു മുഴുവൻ സബ്നെറ്റും സംരക്ഷിക്കാൻ സമ്മതിക്കുന്നു, ആ കരാറിനെ അതിലെ എല്ലാ സേവനങ്ങളിലേക്കും എത്താനുള്ള അനുമതിയായി ആരോ വായിക്കുന്നു. അതാണ് കെട്ടുകഥ: ടണൽ വഹിക്കാൻ തയ്യാറായ ട്രാഫിക്ക് ഏതാണെന്ന് സെലക്ടർ പറയുന്നു, സംഘടന അനുവദിക്കുന്ന സേവനങ്ങൾ ഏതാണെന്ന് അത് ഒന്നും പറയുന്നില്ല. ഒരു ജോടി ഉപകരണങ്ങൾക്ക് വിശാലമായ വിലാസ ശ്രേണിയെക്കുറിച്ച് നിയമാനുസൃതമായി ചർച്ച ചെയ്യാം, അതിനുള്ളിലെ ആക്സസ് നയം രണ്ട് പോർട്ടുകൾ അനുവദിക്കുമ്പോൾ, രണ്ട് പ്രസ്താവനകളും ഒരേ സമയം ശരിയായി നിലനിൽക്കുന്നു.

സംരക്ഷിത പരിധി അധികാരമല്ല

ട്രാഫിക് സെലക്ടർ ടണൽ കരാറിന്റെ ഭാഗമാണ്. പിയർമാർ പരസ്പരം എന്ത് എൻക്രിപ്റ്റ് ചെയ്യുമെന്ന് അത് ചുരുക്കുകയോ സ്ഥിരീകരിക്കുകയോ ചെയ്യുന്നു, ഇരു വശങ്ങളിലും ഒഴുക്കുകൾ ഏറെയുള്ളപ്പോൾ വിശാലമായ സെലക്ടർ പലപ്പോഴും പ്രവർത്തിക്കാൻ ഏറ്റവും ലളിതമായ കാര്യമാണ്. സേവന ഫിൽട്ടർ പാതയിലെ മറ്റൊരു ബിന്ദുവിലെ വേറൊരു നിയന്ത്രണമാണ്, പാക്കറ്റ് ഡീക്രിപ്റ്റ് ചെയ്ത ശേഷം യഥാർത്ഥത്തിൽ എന്ത് ഉപയോഗിക്കാമെന്ന് അത് തീരുമാനിക്കുന്നു. ഒരു പരിശോധന വിജയിക്കാൻ ഫിൽട്ടർ നീക്കം ചെയ്യുന്നത് ഒരു നയ തീരുമാനത്തെ അപകടമാക്കി മാറ്റുന്നു.

ഡിസൈൻ രേഖയിൽ രണ്ട് രേഖകളും വെവ്വേറെ സൂക്ഷിക്കുക, കാരണം സെലക്ടർ മാത്രം കാണുന്ന വായനക്കാരൻ ഒരിക്കലും നൽകാത്ത അധികാരം അനുമാനിക്കും. മാറ്റ രേഖയിലെ രണ്ട് വരികൾ അത് തടയുന്നു, തുടർന്നുവരുന്ന തർക്കത്തേക്കാൾ കുറഞ്ഞ സമയമേ അവ എടുക്കൂ.

ഒരു ഒഴുക്ക് രണ്ടറ്റത്തുനിന്നും വിവരിക്കുക

സമാരംഭകൻ, പ്രതികരിക്കുന്നവൻ, അവതരിപ്പിച്ചതുപോലെയുള്ള ഉറവിടവും ലക്ഷ്യവും, പ്രോട്ടോക്കോളും രണ്ട് പോർട്ടുകളും എഴുതി വയ്ക്കുക. തുടർന്ന് മറ്റേ അറ്റത്തിനായി ആ ലേബലുകൾ ഓരോന്നും തലകീഴാക്കുക, കാരണം ക്ലയന്റിന്റെ താത്കാലിക ഉറവിട പോർട്ട് മറുപടിയുടെ ലക്ഷ്യ പോർട്ടായി മാറുന്നു, വിദൂര നെറ്റ്വർക്ക് പ്രാദേശികമായി മാറുന്നു. ആ തലകീഴാക്കൽ കൂടാതെ ഒരു വശത്തുനിന്ന് മറുവശത്തേക്ക് പകർത്തിയ കോൺഫിഗറേഷനാണ് ഫിൽട്ടറുകൾ കൃത്യമായി തെറ്റായ ദിശ അനുവദിക്കുന്നതിന് കാരണം. പട്ടിക ഒരിക്കൽ എഴുതി രണ്ട് ഫിൽട്ടറുകളും അതിൽനിന്ന് നിർമ്മിക്കുക.

എന്തും പകർത്തുന്നതിന് മുമ്പ് തിരഞ്ഞെടുപ്പ് മാതൃക അംഗീകരിക്കുക, കാരണം നയാധിഷ്ഠിത രൂപകൽപ്പനയും റൂട്ട് അധിഷ്ഠിത രൂപകൽപ്പനയും ഒരേ ഉദ്ദേശ്യം വ്യത്യസ്ത വസ്തുക്കളിലൂടെ പ്രകടിപ്പിക്കുന്നു. ഒഴുക്കിനൊപ്പം മാതൃകയുടെ പേര് എഴുതുക, അല്ലെങ്കിൽ അടുത്ത എൻജിനീയർ ഒരിക്കലും താരതമ്യപ്പെടുത്താനാവാത്ത വസ്തുക്കൾ ചേർത്ത് ഒരു ഉച്ചയ്ക്ക് ചെലവഴിക്കും.

യഥാർത്ഥത്തിൽ ബാധകമായ ഫിൽട്ടർ കണ്ടെത്തുക

ഒരു ASA-യിൽ, VPN ഫിൽട്ടർ ഒരു ഗ്രൂപ്പ് പോളിസിയോട് ഘടിപ്പിച്ച ACL ആണ്, ഡീക്രിപ്റ്റ് ചെയ്തതിനുശേഷവും എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനുമുമ്പുമുള്ള ട്രാഫിക്കിൽ പ്രയോഗിക്കുന്നു. Cisco-യുടെ ഗ്രൂപ്പ്-പോളിസി ഡോക്യുമെന്റേഷൻ പാരമ്പര്യവും വിവരിക്കുന്നു, ഗ്രൂപ്പ്-പോളിസി മൂല്യത്തെ മറികടക്കുന്ന ഉപയോക്തൃതല മൂല്യം ഉൾപ്പെടെ. അതിനാൽ നിങ്ങൾ തിരുത്തിയ ACL നിങ്ങളുടെ മുന്നിലുള്ള സെഷൻ നിയന്ത്രിക്കുന്ന ACL ആയിരിക്കണമെന്നില്ല. ഉപയോക്തൃ വസ്തുവിനും ഇത് ശരിയാണ്, അത് വ്യക്തമായ തെളിവുകൾ വളരെയധികം അവശേഷിപ്പിക്കാതെ ഗ്രൂപ്പിനെ മറികടക്കാം.

നിങ്ങൾ മാറ്റിയതായി ഓർക്കുന്ന വസ്തുവിനെയല്ല, ഫലപ്രദമായ സെഷൻ പരിശോധിക്കുക, അത് ഏത് നയ വസ്തുവാണ് നൽകുന്നതെന്ന് ശ്രദ്ധിക്കുക. ആ ഒരു ഘട്ടം „ഫിൽട്ടർ ശരിയാണ്, പക്ഷേ പ്രവർത്തിക്കുന്നില്ല“ എന്ന റിപ്പോർട്ടുകൾ അതിശയകരമാംവിധം ഏറെ പരിഹരിക്കുന്നു.

ദിശ, പോർട്ടുകൾ, വിപരീത കേസ്

രേഖപ്പെടുത്തിയ സമ്പ്രദായം വിദൂര നെറ്റ്വർക്കിനെ, അല്ലെങ്കിൽ അനുവദിച്ച വിദൂര ക്ലയന്റ് വിലാസങ്ങളെ, ഉറവിട സ്ഥാനത്തും പ്രാദേശിക നെറ്റ്വർക്കിനെ ലക്ഷ്യ സ്ഥാനത്തും വയ്ക്കുന്നു, മറുപടികൾ വിലാസ സ്ഥാനങ്ങൾ പരസ്പരം മാറ്റി പ്രകടിപ്പിക്കുന്നു. പോർട്ട് നിയമങ്ങൾ ആ സമ്പ്രദായത്തിന് മുകളിലാണ്, വിലാസങ്ങളെക്കാൾ കൂടുതൽ ശ്രദ്ധ അർഹിക്കുന്നു.

രേഖപ്പെടുത്തിയ മാതൃക ഒരു ലക്ഷ്യ-പോർട്ട് നിയമത്തെ അതേ ഉറവിട പോർട്ട് ഉപയോഗിക്കുന്ന വിപരീത സമാരംഭനത്തെ ബാധിക്കാൻ അനുവദിക്കാം, അതായത് ഫിൽട്ടർ നിരുപദ്രവകരമായ മറുപടികളോടുകൂടിയ ഒരു ഏകദിശാ അഭ്യർത്ഥനാ നിയമം മാത്രമല്ല. രണ്ട് സമാരംഭന ദിശകളിലൂടെയും വ്യക്തമായി ചിന്തിക്കുക, നിങ്ങൾ നിഷേധിക്കാൻ ഉദ്ദേശിക്കുന്ന കേസും ഉൾപ്പെടുത്തുക.

അതേ ഡോക്യുമെന്റേഷൻ ഫിൽട്ടറെ പ്രാരംഭ കണക്ഷനുകളിൽ പരിമിതപ്പെടുത്തുന്നു, അതിനാൽ പരിശോധിക്കപ്പെടുന്ന ഒരു ആപ്ലിക്കേഷൻ തുറക്കുന്ന ഓരോ ദ്വിതീയ ചാനലിന്റെയും സാർവത്രിക നിർവ്വഹണമല്ല അത്. പൂർണ്ണ നയത്തിന് ആ പരിധി ആവശ്യമുള്ളിടത്ത്, അത് അതിന്റെ ഉദ്ദേശ്യത്തിനപ്പുറം നീട്ടുന്ന ACL-ലല്ല, വേറിട്ട ഒരു അതിരിലാണ് വേണ്ടത്.

പൂർത്തിയായി പ്രഖ്യാപിക്കുന്നതിന് മുമ്പ് മൂന്ന് കേസുകൾ പരിശോധിക്കുക

ഉദ്ദേശിച്ച ഒഴുക്ക് സ്വീകരിക്കുക, നയം വിലക്കുന്ന ഒരു സേവനം നിരസിക്കുക, നിങ്ങൾ ചിന്തിച്ച വിപരീത ദിശാ കേസ് പ്രവർത്തിപ്പിക്കുക. നിങ്ങൾ വിന്യസിക്കാൻ പോകുന്ന അതേ ഐഡന്റിറ്റികളും സെലക്ടറുകളും ഉപയോഗിച്ച് അംഗീകൃത പ്ലാനിൽ അവ പ്രവർത്തിപ്പിക്കുക. അനുവദിച്ച സേവനം പ്രവർത്തിക്കുന്നു എന്ന് മാത്രം കാണിക്കുന്ന പരിശോധന ടണൽ കാണിക്കുന്നു, നയമല്ല.

ചർച്ച ചെയ്ത പരിധിയും ആക്സസ് തീരുമാനവും രണ്ട് രേഖകളായി സൂക്ഷിക്കുക, കാരണം ഒരു VPN എന്ത് അനുവദിക്കുന്നു എന്ന് വിശദീകരിക്കാൻ രണ്ടും ആവശ്യമാണ്.