ഒരു WAN ഇന്റർഫേസിന് സൈറ്റ്-ടു-സൈറ്റ്, റിമോട്ട് VPN എന്നിവ ഒരുമിച്ച് സേവിക്കാനാകുമോ?

ഒരു പൊതു വിലാസത്തിന് ഒരേ സമയം ശാഖാ ടണലും റോമിംഗ് ഉപയോക്താക്കളുടെ പൂളും സേവിക്കാനാകും. പക്ഷേ ഒരു പൊതു പ്രവേശന നിയമം സേവിക്കാനാവില്ല. ശാഖയുടെ പിയറും റോമിംഗ് ഉപയോക്താവും വ്യത്യസ്തരാണ് — അവർ തങ്ങളെ ആരെന്ന് അവകാശപ്പെടുന്നു, ആ തെളിവ് എങ്ങനെ പരിശോധിക്കുന്നു, ഏത് വിലാസങ്ങൾ ലഭിക്കുന്നു, ഏത് പ്രിഫിക്സുകൾക്ക് അവർക്ക് ഉത്തരം നൽകാം എന്നിവയിൽ. പുറം വിലാസത്തെ ഐഡന്റിറ്റിയല്ലാതെ ഗതാഗത വിശദാംശമായി കണ്ടാൽ രൂപകൽപ്പന വളരെ ലളിതമാകും.

വേഗത്തിലുള്ള വിവേക പരിശോധന: റൂട്ടർ തൊടുന്നതിന് മുൻപ് രണ്ട് പ്രവേശന രേഖകളും എഴുതാൻ ശ്രമിക്കുക. ഒരു പൊരുത്ത വ്യവസ്ഥ രണ്ടിനെയും ഉൾക്കൊള്ളേണ്ടതുണ്ടെങ്കിൽ നയം ഇതിനകം അവ്യക്തമാണ്, ആദ്യ ലക്ഷണം റൂട്ടിംഗ് അല്ലെങ്കിൽ ഫയർവാൾ തകരാറായി തോന്നും, യഥാർത്ഥത്തിൽ അത് ഐഡന്റിറ്റി തകരാറാണ്.

ഏതെങ്കിലും കോൺഫിഗറേഷന് മുൻപ് രണ്ട് രേഖകൾ

ശാഖാ രേഖ ചെറുതും സ്ഥിരവുമാണ്. പിയറിന്റെ വിലാസം അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് പേര്, മുൻകൂട്ടി പങ്കിട്ട കീ അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റിന്റെ ട്രസ്റ്റ്പോയിന്റ്, ഇരു വശത്തെയും സംരക്ഷിത ഉപശൃംഖലകൾ, ടണൽ ഇന്റർഫേസ്, ശാഖയിലേക്കുള്ള ട്രാഫിക്കിനെ ആ ടണലിലേക്ക് അയയ്ക്കുന്ന സ്റ്റാറ്റിക് റൂട്ട് എന്നിവ അത് പട്ടികപ്പെടുത്തുന്നു. ഓരോ ഫീൽഡും ഒരു അറിയപ്പെടുന്ന പിയറിനെയും നിശ്ചിത പ്രിഫിക്സ് കൂട്ടത്തെയും കുറിച്ചാണ്.

റോമിംഗ് രേഖ കൂടുതൽ വിശാലവും വ്യക്തിഗതവുമാണ്. ക്ലയന്റ് പ്രോട്ടോക്കോളും പോർട്ടും, ഉപയോക്താവോ ഉപകരണമോ എങ്ങനെ പ്രാമാണീകരിക്കുന്നു, ബന്ധിപ്പിക്കുമ്പോൾ നൽകുന്ന വിലാസ പൂൾ, ആ പൂളിന് എത്താവുന്ന വിഭവങ്ങൾ, സ്പ്ലിറ്റ് ടണൽ പ്രിഫിക്സുകൾ, ക്ലയന്റിലേക്ക് അയയ്ക്കുന്ന DNS സെർവറുകൾ, ഏതെങ്കിലും രണ്ടാം ഘടകം എന്നിവ അത് പട്ടികപ്പെടുത്തുന്നു. ഓരോ ഫീൽഡും ഒരു ഗേറ്റ്വേയെക്കുറിച്ചല്ല, അജ്ഞാതമായ എണ്ണം ഉപയോക്താക്കളെക്കുറിച്ചുള്ള ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു.

ഈ വിശദാംശ വ്യത്യാസമാണ് രണ്ട് പങ്കുകൾ വേർതിരിയാനുള്ള മുഴുവൻ കാരണം. ശാഖാ പ്രൊഫൈലിന് ഒരു കീയിൽ സുരക്ഷിതമായി ആശ്രയിക്കാം, കാരണം കീ ഒരിടത്തെ ഒരു ഉപകരണത്തിന്റേതാണ്. എല്ലാവർക്കും ഒരു ഗ്രൂപ്പ് കീയിൽ ആശ്രയിക്കുന്ന റോമിംഗ് പ്രൊഫൈൽ ഉപയോക്താവ് തോറുമുള്ള ഉത്തരവാദിത്തം തകർക്കുന്നു, അത് സാധാരണയായി പിന്നീട്, വിന്യാസ വേളയിലല്ല, സംഭവ അവലോകന വേളയിൽ കണ്ടെത്തുന്നു.

പിയർ പൊരുത്തവും പ്രാമാണീകരണവും വേർതിരിയുന്നിടം

IOS XE യിൽ IKEv2 പ്രൊഫൈൽ ചർച്ച ചെയ്യാനാവാത്ത പാരാമീറ്ററുകളും പിയർ തിരഞ്ഞെടുക്കാൻ ഉപയോഗിക്കുന്ന വ്യവസ്ഥകളും വഹിക്കുന്നു. അതായത് ശാഖാ വശത്തിനും റോമിംഗ് വശത്തിനും ഓരോന്നിനും സ്വന്തം പ്രൊഫൈൽ വേണം, അവ ഒരേ ഇന്റർഫേസിൽ അവസാനിച്ചാലും ഒരേ ക്രിപ്റ്റോ PKI പങ്കിട്ടാലും. Cisco തന്റെ IOS XE 17 നുള്ള IKEv2 കോൺഫിഗറേഷൻ ഗൈഡിൽ.

ശാഖാ പ്രൊഫൈൽ സാധാരണയായി ഇടുങ്ങിയ ഐഡന്റിറ്റിയുമായി പൊരുത്തപ്പെടുന്നു: ദൂരെയുള്ള വിലാസം, FQDN, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് വിഷയം. match identity remote address 198.51.100.10 255.255.255.255 പോലുള്ള ഒരു വരി ഒരു പിയറിനെ പിൻ ചെയ്യുന്നു, ഓരോ സൈറ്റിനും സൂക്ഷിക്കുന്ന കീയുള്ള authentication remote pre-share മതി. പിയർ പട്ടിക അനുവദിക്കുന്നത്ര നിർദ്ദിഷ്ടമായി പൊരുത്തം നിലനിർത്തുക, കാരണം തിരഞ്ഞെടുപ്പ് ക്രമത്തിൽ മുകളിലുള്ള ഒരു ഓവർലാപ്പിംഗ് വൈൽഡ്കാർഡ് ശാഖയുടെ ട്രാഫിക്കിനെ തെറ്റായ പ്രൊഫൈലിലേക്ക് വലിച്ചിടാം.

റോമിംഗ് പ്രൊഫൈലിന് വിലാസം പിൻ ചെയ്യാനാവില്ല, അതിനാൽ അത് ഒരു ഗ്രൂപ്പ്, key-id, അല്ലെങ്കിൽ സർട്ടിഫിക്കറ്റ് ഫീൽഡുമായി പൊരുത്തപ്പെടുന്നു, പിന്നീട് യഥാർത്ഥ ഉപയോക്തൃ പരിശോധന AAA യ്ക്കോ പ്രൊഫൈലിൽ ഘടിപ്പിച്ച അധികാര നയത്തിനോ കൈമാറുന്നു. ഈ വേർതിരിവ് പ്രധാനമാണ്: പിയർ പ്രാമാണീകരണം ക്ലയന്റിന് ടണൽ നിർമ്മിക്കാൻ അനുമതിയുണ്ടോ എന്ന് ഉത്തരം നൽകുന്നു, ഉപയോക്താവ് തോറുമുള്ള അധികാരം അയാൾക്ക് ഏത് പൂളും ഏത് വിഭവങ്ങളും ലഭിക്കുന്നു എന്ന് ഉത്തരം നൽകുന്നു. ശാഖാ കീ സാർവത്രിക ലോഗിൻ ആയി ഉപയോഗിച്ചാൽ രണ്ടാം ഉത്തരം വലിച്ചെറിയുന്നു.

ഫോർവേഡിംഗിനും വിവർത്തനത്തിനും അതേ വേർതിരിവ് വേണം

പ്രവേശനവും എത്തിച്ചേരലും വെവ്വേറെ പ്രശ്നങ്ങളാണ്. വിജയകരമായ IKE, IPsec കൈമാറ്റം ഇരു കക്ഷികളും കീകളിൽ യോജിക്കുന്നു എന്ന് തെളിയിക്കുന്നു; അത് ക്ലയന്റിന് ലഭിച്ച പൂളിലേക്ക് റൂട്ട് സൃഷ്ടിക്കുന്നില്ല. അതിനാൽ റിമോട്ട്-ആക്സസ് പൂളുകൾക്ക് തിരിച്ചുവരവ് പാത വേണം: ടണൽ ഇന്റർഫേസിലേക്കുള്ള സ്റ്റാറ്റിക് റൂട്ട് അല്ലെങ്കിൽ പൂളിന്റെ സംഗ്രഹം കയറ്റുന്ന റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ. ശാഖയുടെ പ്രിഫിക്സുകൾ സാധാരണയായി സൈറ്റിന്റെ ബാക്കി ഭാഗത്തെ സേവിക്കുന്ന അതേ റൂട്ടിംഗ് പ്രക്രിയയിലൂടെ വരുന്നു.

വിവർത്തനമാണ് രണ്ട് പങ്കുകൾ ഏറ്റവും കൂടുതൽ കൂട്ടിയിടിക്കുന്നിടം. സ്വന്തം സ്വകാര്യ വിലാസങ്ങൾ നിലനിർത്തേണ്ട സൈറ്റ്-ടു-സൈറ്റ് ട്രാഫിക്കിന് ആ രണ്ട് പ്രിഫിക്സുകളിൽ പരിമിതപ്പെടുത്തിയ NAT ഒഴിവാക്കൽ വേണം, ഇരു ദിശകളിലും. റോമിംഗ് ക്ലയന്റുകൾക്കും സാധാരണയായി ടണലിനുള്ളിലെ ട്രാഫിക്കിന് ഒഴിവാക്കൽ വേണം, പക്ഷേ അവരുടെ ഇന്റർനെറ്റിലേക്കുള്ള ട്രാഫിക് സ്പ്ലിറ്റ് ടണലിലൂടെ ടണൽ ഒഴിവാക്കുന്നു അല്ലെങ്കിൽ NAT യ്ക്ക് ശേഷം ഹബ്ബിൽ പുറത്തിറങ്ങുന്നു. ടണലിൽ നിന്ന് വരുന്ന എല്ലാം ഒഴിവാക്കുന്നത് പതിവ് തെറ്റാണ്, കാരണം അത് യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള ട്രാഫിക്കിൽ നിന്നും വിവർത്തനം എടുത്തുകളയുന്നു.

ഒഴിവാക്കൽ നിയമങ്ങൾ പ്രവേശന നിയമങ്ങളോളം ഇടുങ്ങിയതാക്കി നിലനിർത്തുക. പൂളിന്റെ സംഗ്രഹവും ശാഖാ പ്രിഫിക്സും ഓവർലാപ്പ് ചെയ്താൽ, ഒരു പാക്കറ്റ് പോലും ഉപേക്ഷിക്കുന്നതിന് വളരെ മുൻപേ തിരിച്ചുവരവ് പാത അവ്യക്തമാകും, ലക്ഷണം വ്യക്തമായ ടണൽ തകരാറായി അല്ല, ഒരു സൈറ്റ് ഇടയ്ക്കിടെ ഒരു ഉപശൃംഖല നഷ്ടപ്പെടുന്നതായി കാണപ്പെടും.

കുറുകെയുള്ള നയം തുറന്നുകാട്ടുന്ന സ്വീകരണ കേസുകൾ

നാല് കേസുകൾ നിർമ്മിച്ച് ക്രമത്തിൽ പ്രവർത്തിപ്പിക്കുക. ശാഖയിലെ ഒരു ഹോസ്റ്റ് ശാഖയ്ക്ക് മാത്രമുള്ള ഒരു വിഭവത്തിൽ എത്തുന്നു. റോമിംഗ് ക്ലയന്റ് തന്റെ പൂൾ വിലാസത്തിലൂടെ അതേ വിഭവത്തിൽ എത്തുന്നു. റോമിംഗ് ക്ലയന്റ് തൊടാൻ പാടില്ലാത്ത ഒരു ശാഖാ പ്രിഫിക്സ് പരീക്ഷിക്കുന്നു. ശാഖയുടെ പിയർ റിമോട്ട്-ആക്സസ് പൂളിൽ നിന്ന് വിലാസം നേടാൻ ശ്രമിക്കുന്നു. അവസാന രണ്ടെണ്ണമാണ് പങ്കിട്ട പ്രൊഫൈലിനെ പിടിക്കുന്നത്, കാരണം സാധാരണ നിരീക്ഷണത്തിൽ അവ നിശബ്ദമായി പരാജയപ്പെടുന്നു.

പിന്നീട് കോൺഫിഗറേഷനല്ല, ഡാറ്റ പ്ലെയിൻ സ്ഥിരീകരിക്കുക. show crypto ikev2 sa ഉം show crypto ipsec sa ഉം ഓരോ ഫ്ലോയും ഏത് പ്രൊഫൈലും ഏത് സെലക്ടർമാരും വഹിച്ചു എന്ന് പറയുന്നു, show ip nat translations ഉം ടണൽ കൗണ്ടറുകളും തിരിച്ചുവരവ് പാതയും ഒഴിവാക്കലും യഥാർത്ഥത്തിൽ ഒത്തുവന്നോ എന്ന് കാണിക്കുന്നു. ടണൽ ഇന്റർഫേസിൽ tracer അല്ലെങ്കിൽ പാക്കറ്റ് ക്യാപ്ചർ ലൂപ്പ് അടയ്ക്കുന്നു.

ഓരോ ഫലത്തിന്റെയും അടുത്ത് നിരീക്ഷിച്ച ഐഡന്റിറ്റി, പൂൾ വിലാസം, തിരഞ്ഞെടുത്ത നയം എന്നിവ എഴുതുക. ഓരോ കേസും കൃത്യമായി ഒരു രേഖയുമായി പൊരുത്തപ്പെടുകയും ഒരു കേസിനും വിജയിക്കാൻ താൽക്കാലിക ഒഴിവാക്കൽ ആവശ്യമില്ലാതിരിക്കുകയും ചെയ്യുമ്പോൾ പരിശീലനം പൂർത്തിയാകുന്നു.