IOS-оос ASA руу VPN шилжилт: гэрээг орчуулаарай, командуудыг биш

ASA руу шилжих лавлагаа болгон ирдэг IOS тохиргоо нь нэг платформын синтакс дотор боосон гэрээг дүрсэлдэг. Хамтрагчийн хаяг, таних мэдээлэл, хамгаалагдсан хүрээ нь гэрээ өөрөө юм. Түлхүүрийн бөгж, профайл, крипто зургийн гинж нь IOS үүнийг илэрхийлэх арга бөгөөд ASA ижил санааг туннелийн бүлэг, тэдгээрийн шинж чанараар илэрхийлдэг. Хоёр дахь хэсгийг хуулах нь хэзээ ч ажиллахгүй, зөвхөн эхнийхийг хуулбал ажил хагас дутуу үлдэнэ.

Доорх таван алхмыг дарааллаар нь хийж, хоёр платформ өөр үг биш өөр зүйлийг дүрсэлж буй газарт зогсоорой.

1-р алхам: гэрээг синтаксаас тусгаарла

Шилжүүлгийг хоёр администраторын санал нийлсэн шаардлага хэлбэрээр бич. Дөрвөн мөр бараг бүгдийг хамарна: хамтрагч хаана байгаа, аль тал эхлэх, тал бүр таних мэдээллээ хэрхэн нотлох, ямар хамгаалалт хүлээн зөвшөөрөгдөх, ямар програмууд туннелээр гарах ёстой. Эдгээр мөрүүдийн аль нь ч командыг дурдахгүй.

Эх бичвэрийг заавар биш нотолгоо болгон хадгал. Нэг платформд байгаа, нөгөөд байхгүй мөр нь ижил шаардлагыг өөр аргаар биелүүлж болох эсэхийг шалгах хүртэл синтаксийн ялгаа юм.

2-р алхам: платформ бүр дээр объектуудыг нэрлэ

IOS XE-д IKEv2 түлхүүрийн бөгж IKEv2 профайлыг тэжээж, тэр профайл крипто зураг эсвэл IPsec профайлаар холбогдоно. ASA-д туннелийн бүлэг холболтын профайл болон түүний IPsec шинж чанарыг хадгалж, крипто зураг түүн рүү заана, дүрсэлсэнчлэн холболтын профайлын гарын авлага. Эдгээр нь өөр өв уламжлалтай өөр объектын графикууд тул мөр мөрөөр тааруулах нь задлан шинжилэгддэг ч холбогддоггүй тохиргоог өгнө.

Зорилтот объектуудыг эх мөрүүдээс биш шаардлагын мөрүүдээс бүрдүүл. Хэрэв мөрүүд бүрэн бол зорилтот тохиргоо нь дизайны шийдвэр юм. Бүрэн биш бол ямар ч хэмжээний командын орчуулга дутуу санааг өгөхгүй.

3-р алхам: зөвхөн хаяг биш таних мэдээллийг дамжуул

Таних мэдээлэл бол чимээгүй эвдэрдэг хэсэг юм. Хаягаар баталгаажуулдаг хамтрагч сертификатын субьект эсвэл FQDN-ээр баталгаажуулдаг хамтрагчаас өөрөөр ажилладаг бөгөөд хоёр платформ тэр хүлээлтийг өөр өөр газарт бүртгэдэг. Туршихад хялбар гэсэн шалтгаанаар дундын нууцыг орлуулахын оронд зорьсон таних мэдээлэл болон итгэлийн гинжийг хадгал.

Урьдчилан хуваалцсан нууцыг харьцуулалтын тэмдэглэл, тасалбараас хол байлга. Энэ нь хэнд хамаарах, зөвшөөрөгдсөн сувгаар хэрхэн хөдөлдөг болохыг тэмдэглэж, баримт бичгийн жишээн дэх орлуулагч нь харилцагчийн итгэмжлэл биш гэдгийг сана.

4-р алхам: шилжилтийн өмнө хамгаалалтыг зөвшилц

Хуучин криптографийн тохиргоог зөвхөн өгөгдсөн бичвэрт байгаа учраас шилжүүлж болохгүй. Хоёр байршуулсан хамтрагчийн одоо дэмждэг багцуудын огтлолцолыг зөвшилцөж, өөрчлөлтийн цонхны өмнө нөгөө администратортой баталгаажуул. Хэрэв энэ огтлолцол одоогийн хамтрагчийн хүлээж байгаагаас ялгаатай бол энэ нь орон нутгийн засвар биш, зохицуулсан өөрчлөлт юм.

Зөвшилцсөн багцыг бич. Утасны ярианы тухай өөр өөр дурсамжтай хоёр администратор нь шилжилтийн хоёр дахь фазад зөрүү үүсэх шалтгаан юм.

5-р алхам: синтакс биш үйлчилгээг шалга

Эхлээд зорилтын үр дүнтэй объектуудыг, дараа нь хүлээн авсан холбоосыг, дараа нь бодит програмын урсгал болон түүний хариуг шалга. Командыг алдаагүй оруулах нь синтаксийг л нотолно. Өргөгдөж, трафик дамжуулдаггүй туннель нь ихэвчлэн хамгаалагдсан хүрээ эсвэл буцах зам нөгөө талтай таарахгүй байгааг илтгэнэ, энэ нь командын бус шаардлагын мөрийн асуудал юм. Крипто зургийг дахин хүрэхийн өмнө хоёр талын хамгаалагдсан хүрээг харьцуул.

Юуг, ямар хаягаар, аль талаас шалгаснаа тэмдэглэ. Тэр бүртгэл VPN ажиллаж байна гэсэн тодорхойгүй мэдэгдлийг нөгөө администратор бие даан шалгаж болох зүйл болгоно.

Юу буцаах вэ

Шаардлагын матриц, зорилтот тохиргооны хураангуй, шалгалтын үр дүнг илгээ. Аль эх тохиргоог шилжүүлээгүй, яагаад гэдгийг тодорхой хэл. Тэр жагсаалт орчуулсан тохиргооноос илүү ашигтай, учир нь дараагийн зөрчил тэндээс эхэлнэ.

Эх бичвэрийг ч тасалбартай хамт хадгал. Энэ нь юу шаардсаныг, матриц нь юун дээр зөвшилцсөнийг баримтжуулна.