Нэг WAN интерфейс сайт хоорондын болон алсын VPN-ийг зэрэг үйлчилж чадах уу?

Нэг нийтийн хаяг нэгэн зэрэг салбарын туннель болон тэнүүчлэгч хэрэглэгчдийн санг үйлчилж чадна. Гэхдээ нэг нийтлэг нэвтрүүлэх дүрмийг үйлчилж чадахгүй. Салбарын хамтрагч болон тэнүүчлэгч хэрэглэгч ялгаатай — тэд өөрсдийгөө хэн гэж мэдэгддэг, тэр нотолгоог хэрхэн шалгадаг, ямар хаяг авдаг, ямар префиксүүд тэдэнд хариулж болох зэргээрээ. Гадаад хаягийг таних тэмдэг бус тээврийн дэлгэрэнгүй мэт үзвэл загвар нь хамаагүй энгийн болно.

Хурдан ухааны тест: чиглүүлэгчийг хүрэхээс өмнө хоёр нэвтрүүлэх бичлэгийг бичиж үзээрэй. Хэрэв нэг тааруулах нөхцөл хоёуланг нь хамах ёстой бол бодлого аль хэдийн хоёрдмол утгатай, эхний шинж тэмдэг чиглүүлэлт эсвэл галт хананы гэмтэл мэт харагдана, үнэндээ энэ нь таних тэмдгийн гэмтэл.

Аливаа тохиргооны өмнө хоёр бичлэг

Салбарын бичлэг богино бөгөөд тогтвортой. Тэр хамтрагчийн хаяг эсвэл гэрчилгээний нэрийг, урьдчилан хуваалцсан түлхүүр эсвэл гэрчилгээний итгэлцлийн цэгийг, хоёр талын хамгаалагдсан дэд сүлжээг, туннелийн интерфейсийг, салбар руу чиглэсэн урсгалыг тэр туннель руу илгээдэг статик маршрутыг жагсаана. Талбар бүр нэг танигдсан хамтрагч болон префиксүүдийн тогтмол багцтай холбоотой.

Тэнүүчлэлийн бичлэг илүү өргөн бөгөөд илүү хувийн. Тэр клиентийн протокол ба портыг, хэрэглэгч эсвэл төхөөрөмж хэрхэн баталгаажуулагддаг, холбогдох үед олгогддог хаягийн санг, тэр сан хүрч болох нөөцүүдийг, хуваагдсан туннелийн префиксүүдийг, клиент рүү түлхэгддэг DNS серверүүдийг, мөн ямар ч хоёр дахь хүчин зүйлийг жагсаана. Талбар бүр нэг гарц биш, тодорхойгүй тооны хэрэглэгчдийн тухай асуултад хариулна.

Энэ нарийвчлалын ялгаа нь хоёр үүрэг салбарын бүх шалтгаан. Салбарын профайл нэг түлхүүрт итгэлтэй найдаж чадна, учир нь түлхүүр нэг газар дахь нэг төхөөрөмжид харьяалагддаг. Бүгдэд нэг бүлгийн түлхүүрт итгэдэг тэнүүчлэлийн профайл хэрэглэгч тус бүрийн хариуцлагыг нураадаг бөгөөд үүнийг ихэвчлэн дараа нь, нэвтрүүлэх үед биш, хэргийн хянан үзэх үед илрүүлдэг.

Хамтрагчийг тааруулах болон баталгаажуулалт хаана салдаг

IOS XE дээр IKEv2 профайл тохиролцож болохгүй параметрүүд болон хамтрагчийг сонгоход хэрэглэгддэг нөхцлүүдийг агуулна. Энэ нь салбарын тал болон тэнүүчлэлийн тал тус тусдаа өөрийн профайл хэрэгтэй гэсэн үг, тэд нэг интерфейс дээр төгссөн ч, нэг криптограф PKI хуваалцсан ч. Cisco профайл, баталгаажуулалт болон тааруулалтын үүргийг өөрийн IOS XE 17-д зориулсан IKEv2 тохиргооны гарын авлагад тайлбарладаг.

Салбарын профайл ихэвчлэн нарийн таних тэмдэгтэй таардаг: алсын хаяг, FQDN эсвэл гэрчилгээний субъект. match identity remote address 198.51.100.10 255.255.255.255 шиг зүйл нэг хамтрагчийг бэхэлдэг, сайт бүрт хадгалагддаг түлхүүртэй authentication remote pre-share хангалттай. Тааруулалтыг хамтрагчдын жагсаалтын зөвшөөрөх хэмжээнд тодорхой байлгаарай, учир нь сонголтын дараалалд өндөр байрлах давхцсан wildcard салбарын урсгалыг буруу профайл руу татаж болно.

Тэнүүчлэлийн профайл хаягийг бэхэлж чадахгүй тул бүлэг, key-id эсвэл гэрчилгээний талбартай таарч, дараа нь жинхэнэ хэрэглэгчийн шалгалтыг AAA эсвэл профайлд хавсаргасан зөвшөөрлийн бодлогод шилжүүлдэг. Энэ тусгаарлалт чухал: хамтрагчийн баталгаажуулалт клиент туннель барих эрхтэй эсэхийг хариулна, хэрэглэгч тус бүрийн зөвшөөрөл аль сан, аль нөөцийг авахыг хариулна. Салбарын түлхүүрийг бүх нийтийн нэвтрэлт болгон хэрэглэх нь хоёр дахь хариултыг хаяна.

Дамжуулалт болон хөрвүүлэлт мөн ижил тусгаарлалт хэрэгтэй

Нэвтрүүлэлт болон хүртээмж нь тусдаа асуудал. Амжилттай IKE болон IPsec солилцоо талууд түлхүүрүүд дээр санал нэгдсэнийг нотолдог; энэ нь клиентийн авсан сан руу маршрут үүсгэдэггүй. Тиймээс алсын хандалтын сангуудад буцах зам хэрэгтэй: туннелийн интерфейс рүү чиглэсэн статик маршрут эсвэл сангийн хураангуйг оруулдаг чиглүүлэлтийн протокол. Салбарын префиксүүд ихэвчлэн сайтын бусад хэсгийг үйлчилдэг ижил чиглүүлэлтийн процессоор ирдэг.

Хөрвүүлэлт бол хоёр үүрэг хамгийн их мөргөлддөг газар. Хувийн хаягаа хадгалах ёстой сайт хоорондын урсгалд тэр хоёр префиксээр хязгаарлагдсан NAT чөлөөлөлт хэрэгтэй, хоёр чиглэлд. Тэнүүчлэгч клиентүүдэд ихэвчлэн туннель доторх урсгалд ч чөлөөлөлт хэрэгтэй, гэхдээ тэдний интернет рүү чиглэсэн урсгал хуваагдсан туннелээр туннелийг тойрдог эсвэл NAT-ын дараа төвд гардаг. Туннелээс ирж буй бүгдийг чөлөөлөх нь сонгодог алдаа, учир нь энэ нь үнэхээр хэрэгтэй урсгалаас хөрвүүлэлтийг ч авч оддог.

Чөлөөлөлтийн дүрмүүдийг нэвтрүүлэлтийн дүрмүүд шиг нарийн байлгаарай. Хэрэв сангийн хураангуй болон салбарын префикс давхцвал буцах зам аль ч пакет унахаас хамаагүй өмнө хоёрдмол утгатай болж, шинж тэмдэг цэвэр туннелийн эвдрэл биш, нэг сайт хааяа дэд сүлжээгээ алддаг байдлаар илэрнэ.

Хөндлөн бодлогыг илчилдэг хүлээн авах тохиолдлууд

Дөрвөн тохиолдол бүтээж, дарааллаар нь ажиллуул. Салбарын хост зөвхөн салбарын нөөцөд хүрнэ. Тэнүүчлэгч клиент өөрийн сангийн хаягаар мөн тэр нөөцөд хүрнэ. Тэнүүчлэгч клиент хүрч болохгүй салбарын префиксийг оролдоно. Салбарын хамтрагч алсын хандалтын сангаас хаяг авахыг оролдоно. Сүүлийн хоёр нь хуваалцсан профайлыг барина, учир нь ердийн хяналтад тэд чимээгүй бүтэлгүйтдэг.

Дараа нь тохиргоог биш, өгөгдлийн хавтгайг баталгаажуул. show crypto ikev2 sa болон show crypto ipsec sa аль профайл, аль селекторууд урсгал бүрийг зөөснийг хэлнэ, харин show ip nat translations болон туннелийн тоолуурууд буцах зам болон чөлөөлөлт үнэхээр тохирсон эсэхийг харуулна. Туннелийн интерфейс дээр tracer эсвэл пакет барих нь циклийг хаана.

Үр дүн бүрийн хажууд ажиглагдсан таних тэмдэг, сангийн хаяг, сонгосон бодлогыг бич. Тохиолдол бүр яг нэг бичлэгт тохирч, ямар ч тохиолдолд давахын тулд түр зуурын үл хамаарах зүйл шаардагдахгүй үед гүйлт дуусна.