Pemilih IPsec yang luas bukan kebenaran untuk setiap perkhidmatan

Dua rakan sebaya bersetuju melindungi seluruh subnet, dan seseorang membaca persetujuan itu sebagai kebenaran untuk mencapai setiap perkhidmatan di dalamnya. Itulah mitosnya: pemilih menyatakan trafik mana yang sanggup dibawa oleh terowong, dan ia tidak menyatakan apa-apa tentang perkhidmatan mana yang dibenarkan oleh organisasi. Sepasang peranti boleh berunding secara sah untuk julat alamat yang luas sementara dasar akses di dalamnya membenarkan dua port, dan kedua-dua kenyataan kekal benar pada masa yang sama.

Liputan terlindung bukan kebenaran

Pemilih trafik ialah sebahagian daripada persetujuan terowong. Ia menyempitkan atau mengesahkan apa yang akan disulitkan oleh rakan sebaya antara mereka, dan pemilih yang luas selalunya perkara paling mudah untuk dikendalikan apabila kedua-dua pihak mempunyai banyak aliran untuk dibawa. Penapis perkhidmatan ialah kawalan lain pada titik lain dalam laluan, dan ia memutuskan apa yang sebenarnya boleh digunakan selepas paket dinyahsulit. Membuang penapis supaya satu ujian lulus menukar keputusan dasar menjadi kemalangan.

Simpan kedua-dua rekod secara berasingan dalam dokumen reka bentuk, kerana pembaca yang hanya melihat pemilih akan menyimpulkan kebenaran yang tidak pernah diberikan. Dua baris dalam rekod perubahan menghalangnya, dan ia mengambil masa yang lebih singkat daripada perdebatan yang menyusul.

Huraikan satu aliran dari kedua-dua hujung

Tuliskan pemula, penyahbalas, sumber dan destinasi seperti yang dibentangkan, protokol dan kedua-dua port. Kemudian balikkan setiap label itu untuk hujung yang satu lagi, kerana port sumber sementara klien menjadi port destinasi balasan dan rangkaian jauh menjadi rangkaian tempatan. Konfigurasi yang disalin dari satu pihak ke pihak lain tanpa pembalikan itu ialah cara penapis akhirnya membenarkan arah yang salah sama sekali. Tulis jadual itu sekali dan bina kedua-dua penapis daripadanya.

Sepakati model pemilihan sebelum menyalin apa-apa, kerana reka bentuk berasaskan dasar dan reka bentuk berasaskan laluan menyatakan niat yang sama melalui objek yang berbeza. Tuliskan nama model di sebelah aliran, jika tidak jurutera seterusnya akan menghabiskan satu petang memadankan objek yang tidak pernah setara.

Cari penapis yang benar-benar terpakai

Pada ASA, penapis VPN ialah ACL yang dilampirkan pada dasar kumpulan dan digunakan pada trafik selepas dinyahsulit dan sebelum disulitkan. Dokumentasi dasar kumpulan Cisco juga menerangkan pewarisan, termasuk nilai peringkat pengguna yang menggantikan nilai dasar kumpulan. Jadi ACL yang anda sunting mungkin bukan ACL yang mengawal sesi di hadapan anda. Perkara sama berlaku pada objek pengguna, yang boleh mengatasi kumpulan tanpa meninggalkan banyak bukti yang kelihatan.

Periksa sesi yang berkesan dan bukan objek yang anda ingat telah diubah, dan catat objek dasar mana yang membekalkannya. Langkah tunggal itu menyelesaikan bilangan laporan „penapis betul tetapi ia tidak berfungsi“ yang mengejutkan.

Arah, port dan kes songsang

Konvensyen yang didokumenkan meletakkan rangkaian jauh, atau alamat klien jauh yang diberikan, dalam kedudukan sumber dan rangkaian tempatan dalam kedudukan destinasi, dengan balasan dinyatakan dengan menukar kedudukan alamat. Peraturan port terletak di atas konvensyen itu dan memerlukan lebih kehati-hatian daripada alamat.

Model yang didokumenkan boleh membenarkan peraturan port destinasi menjejaskan permulaan songsang yang menggunakan port sumber yang sama, bermakna penapis bukan sekadar peraturan permintaan sehala dengan balasan yang tidak berbahaya. Fikirkan secara eksplisit melalui kedua-dua arah permulaan, dan sertakan kes yang anda berniat untuk tolak.

Dokumentasi yang sama mengehadkan penapis kepada sambungan awal, jadi ia bukan penguatkuasaan sejagat bagi setiap saluran sekunder yang dibuka oleh aplikasi yang diperiksa. Jika dasar lengkap memerlukan liputan itu, ia tergolong di sempadan berasingan dan bukan dalam ACL yang diregangkan melebihi tujuannya.

Uji tiga kes sebelum mengisytiharkannya selesai

Terima aliran yang dimaksudkan, tolak perkhidmatan yang dilarang oleh dasar, dan uji kes arah songsang yang anda fikirkan. Jalankannya di bawah pelan yang diluluskan dengan identiti dan pemilih yang sama seperti yang akan anda gunakan. Ujian yang hanya menunjukkan perkhidmatan yang dibenarkan berfungsi membuktikan terowong, bukan dasar.

Simpan liputan yang dirundingkan dan keputusan akses sebagai dua rekod, kerana menjelaskan apa yang dibenarkan oleh VPN memerlukan kedua-duanya.