Өргөн IPsec селектор нь бүх үйлчилгээнд олгох зөвшөөрөл биш

Хоёр peer бүхэл дэд сүлжээг хамгаалахаар тохиролцож, хэн нэгэн тэр гэрээг доторх бүх үйлчилгээнд хүрэх зөвшөөрөл гэж уншдаг. Энэ бол домог: селектор нь туннель ямар урсгалыг зөөхөд бэлэн байгааг хэлдэг бөгөөд байгууллага ямар үйлчилгээг зөвшөөрөхийг огт хэлдэггүй. Хос төхөөрөмж өргөн хаягийн мужид хууль ёсоор тохиролцож болно, харин доторх хандалтын бодлого хоёр порт зөвшөөрдөг, хоёр мэдэгдэл нэгэн зэрэг үнэн хэвээр байна.

Хамгаалагдсан хамрах хүрээ нь эрх мэдэл биш

Урсгалын селектор нь туннелийн гэрээний нэг хэсэг. Энэ нь peer-үүд хоорондоо юуг шифрлэхийг нарийсгах эсвэл бататгах бөгөөд хоёр тал олон урсгал зөөх үед өргөн селектор ажиллуулахад хамгийн энгийн зүйл байдаг. Үйлчилгээний шүүлтүүр нь зам дээрх өөр цэгийн өөр нэг хяналт бөгөөд пакет тайлагдсаны дараа юуг үнэхээр ашиглаж болохыг шийддэг. Нэг туршилтыг давуулахын тулд шүүлтүүрийг арилгах нь бодлогын шийдвэрийг осол болгон хувиргадаг.

Дизайны баримт бичигт хоёр бичлэгийг тус тусад нь хадгалаарай, учир нь зөвхөн селекторыг харсан уншигч хэзээ ч олгогдоогүй эрх мэдлийг дүгнэнэ. Өөрчлөлтийн бичлэг дэх хоёр мөр үүнийг сэргийлдэг бөгөөд дараагийн маргаанаас бага цаг зарцуулдаг.

Нэг урсгалыг хоёр төгсгөлөөс тайлбарла

Санаачлагч, хариулагч, эх үүсвэр болон очих газрыг үзүүлсэн байдлаар нь, протокол болон хоёр портыг бич. Дараа нь нөгөө төгсгөлийн хувьд эдгээр шошго бүрийг эргүүл, учир нь клиентийн түр эх порт нь хариултын очих порт болж, алсын сүлжээ нь орон нутгийн сүлжээ болдог. Тэр эргүүлэлгүйгээр нэг талаас нөгөө рүү хуулсан тохиргоо нь шүүлтүүр яг буруу чиглэлийг зөвшөөрдөг шалтгаан юм. Хүснэгтийг нэг удаа бичээд хоёр шүүлтүүрийг түүнээс бүтээ.

Юу ч хуулахаас өмнө сонголтын загварыг тохиролц, учир нь бодлогод суурилсан загвар болон маршрутад суурилсан загвар ижил зорилгыг өөр объектоор илэрхийлдэг. Урсгалын дэргэд загварын нэрийг бич, эс бөгөөс дараагийн инженер хэзээ ч харьцуулж болохгүй объектуудыг тааруулж нэг үдэш зарцуулна.

Үнэхээр хэрэгжиж буй шүүлтүүрийг ол

ASA дээр VPN шүүлтүүр нь бүлгийн бодлогод хавсаргасан ACL бөгөөд тайлагдсаны дараах болон шифрлэхийн өмнөх урсгалд хэрэгждэг. Cisco-гийн бүлгийн бодлогын баримт бичиг өвлөлтийг мөн тайлбарладаг, бүлгийн бодлогын утгыг орлох хэрэглэгчийн түвшний утгыг оруулан. Тиймээс таны зассан ACL таны өмнөх сессийг удирдаж буй ACL биш байж болно. Хэрэглэгчийн объектын хувьд ч мөн адил, энэ нь олон харагдах нотолгоо үлдээлгүйгээр бүлгийг дарж болно.

Өөрчилснөө санаж буй объектыг биш, бодит сессийг шалга, аль бодлогын объект үүнийг өгч байгааг тэмдэглэ. Энэ нэг алхам нь „шүүлтүүр зөв байна, гэхдээ ажиллахгүй байна“ гэсэн гайхалтай олон мэдээг шийддэг.

Чиглэл, порт ба урвуу тохиолдол

Баримтжуулсан уламжлал нь алсын сүлжээг буюу олгогдсон алсын клиентийн хаягуудыг эх үүсвэрийн байрлалд, орон нутгийн сүлжээг очих байрлалд тавьж, хариултыг хаягийн байрлалыг солих замаар илэрхийлдэг. Портын дүрмүүд тэр уламжлал дээр суурих бөгөөд хаягуудаас илүү анхаарал хасдаг.

Баримтжуулсан загвар нь очих портын дүрмийг мөн адил эх портыг ашигладаг урвуу санаачлагад нөлөөлөх боломж олгодог бөгөөд энэ нь шүүлтүүр нь хор хөнөөлгүй хариулттай нэг чиглэлийн хүсэлтийн дүрэм төдийгүй гэсэн үг. Хоёр санаачлагын чиглэлээр тодорхой бодож, татгалзахаар төлөвлөж буй тохиолдлоо оруул.

Мөн баримт бичиг шүүлтүүрийг анхны холболтоор хязгаарладаг тул шалгагдсан аппликейшн нээдэг хоёрдогч суваг бүрийн бүх нийтийн хэрэгжилт биш. Бүрэн бодлогод тэр хамрах хүрээ хэрэгтэй газарт энэ нь зорилгоосоо хэт сунгасан ACL-д биш, тусдаа хилд хамаарна.

Дууссан гэж хэлэхийн өмнө гурван тохиолдлыг турш

Зорьсон урсгалыг хүлээж ав, бодлого хориглосон үйлчилгээг татгалз, мөн та бодож үзсэн урвуу чиглэлийн тохиолдлыг турш. Тэдгээрийг байрлуулах ижил таних тэмдэг, селектортойгоор батлагдсан төлөвлөгөөний дагуу ажиллуул. Зөвхөн зөвшөөрөгдсөн үйлчилгээ ажиллаж байгааг харуулсан туршилт нь туннелийг харуулдаг, бодлогыг биш.

Тохиролцсон хамрах хүрээ болон хандалтын шийдвэрийг хоёр бичлэг болгон хадгал, учир нь VPN юу зөвшөөрөхийг тайлбарлахад хоёулаа хэрэгтэй.