Bolehkah satu antara muka WAN melayani VPN antara tapak dan akses jauh?

Satu alamat awam boleh melayani terowong cawangan dan kolam pengguna bergerak pada masa yang sama. Tetapi ia tidak boleh melayani satu peraturan kemasukan bersama. Rakan cawangan dan pengguna bergerak berbeza dari segi siapa yang mereka dakwa, bagaimana bukti itu diperiksa, alamat apa yang mereka terima dan awalan mana yang boleh membalas mereka. Sebaik sahaja anda menganggap alamat luar sebagai butiran pengangkutan dan bukan identiti, reka bentuk menjadi jauh lebih mudah.

Ujian kewarasan pantas: cuba tulis kedua-dua rekod kemasukan sebelum anda menyentuh penghala. Jika satu syarat pemadanan mesti meliputi kedua-duanya, dasar itu sudah kabur, dan gejala pertama akan kelihatan seperti kerosakan penghalaan atau tembok api sedangkan sebenarnya kerosakan identiti.

Dua rekod sebelum sebarang konfigurasi

Rekod cawangan pendek dan stabil. Ia menyenaraikan alamat rakan atau nama sijil, kunci yang dikongsi terlebih dahulu atau titik kepercayaan sijil, subrangkaian terlindung di kedua-dua pihak, antara muka terowong, dan laluan statik yang menghantar trafik menuju cawangan ke dalam terowong itu. Setiap medan berkaitan satu rakan yang diketahui dan satu set awalan tetap.

Rekod bergerak lebih luas dan lebih peribadi. Ia menyenaraikan protokol dan port klien, cara pengguna atau peranti mengesahkan diri, kolam alamat yang diberikan semasa menyambung, sumber yang boleh dicapai kolam itu, awalan terowong terpisah, pelayan DNS yang ditolak ke klien, dan sebarang faktor kedua. Setiap medan menjawab soalan tentang bilangan pengguna yang tidak diketahui, bukan tentang satu get laluan.

Perbezaan kebutiran itulah seluruh sebab kedua-dua peranan berpisah. Profil cawangan boleh mempercayai satu kunci dengan selamat kerana kunci itu milik satu peranti di satu tapak. Profil bergerak yang mempercayai satu kunci kumpulan untuk semua meruntuhkan akauntabiliti setiap pengguna, dan itu biasanya ditemui kemudian, semasa semakan insiden dan bukan semasa pelaksanaan.

Di mana pemadanan rakan dan pengesahan berpisah

Pada IOS XE profil IKEv2 membawa parameter yang tidak boleh dirunding dan syarat yang digunakan untuk memilih rakan. Ini bermakna pihak cawangan dan pihak bergerak masing-masing memerlukan profil sendiri, walaupun ia berakhir pada antara muka yang sama dan walaupun ia berkongsi satu PKI kripto. Cisco mendokumenkan peranan profil, pengesahan dan pemadanan dalam panduan konfigurasi IKEv2 untuk IOS XE 17.

Profil cawangan biasanya memadankan identiti sempit: alamat jauh, FQDN atau subjek sijil. Sesuatu seperti match identity remote address 198.51.100.10 255.255.255.255 memakukan satu rakan, dan authentication remote pre-share dengan kunci yang disimpan bagi setiap tapak sudah memadai. Kekalkan pemadanan sespesifik yang dibenarkan inventori rakan, kerana kad liar bertindih yang lebih tinggi dalam susunan pemilihan boleh menarik trafik cawangan ke profil yang salah.

Profil bergerak tidak boleh memakukan alamat, jadi ia memadankan kumpulan, key-id atau medan sijil, kemudian menyerahkan pemeriksaan pengguna sebenar kepada AAA atau kepada dasar kebenaran yang dilekatkan pada profil. Pemisahan itu penting: pengesahan rakan menjawab sama ada klien dibenarkan membina terowong, dan kebenaran setiap pengguna menjawab kolam serta sumber mana yang diperolehnya. Menggunakan kunci cawangan sebagai log masuk sejagat membuang jawapan kedua.

Penghantaran dan terjemahan memerlukan pemisahan yang sama

Kemasukan dan ketercapaian ialah masalah berasingan. Pertukaran IKE dan IPsec yang berjaya membuktikan kedua-dua pihak bersetuju tentang kunci; ia tidak mencipta laluan ke kolam yang diterima klien. Oleh itu kolam akses jauh memerlukan laluan pulangan: laluan statik yang menunjuk ke antara muka terowong atau protokol penghalaan yang menyuntik ringkasan kolam. Awalan cawangan biasanya tiba melalui proses penghalaan yang sama yang melayani seluruh tapak.

Terjemahan ialah tempat kedua-dua peranan paling kerap berlanggar. Trafik antara tapak yang mesti mengekalkan alamat peribadinya memerlukan pengecualian NAT terhad kepada dua awalan itu, dalam kedua-dua arah. Klien bergerak biasanya juga memerlukan pengecualian untuk trafik mereka di dalam terowong, tetapi trafik mereka ke internet sama ada memintas terowong melalui terowong terpisah atau keluar di hab selepas NAT. Mengecualikan semua yang datang dari terowong ialah kesilapan klasik, kerana ia juga mengambil terjemahan daripada trafik yang benar-benar memerlukannya.

Kekalkan peraturan pengecualian sesempit peraturan kemasukan. Jika ringkasan kolam dan awalan cawangan bertindih, laluan pulangan menjadi kabur jauh sebelum mana-mana paket digugurkan, dan gejala muncul sebagai satu tapak yang kadangkala kehilangan subrangkaian dan bukan sebagai kegagalan terowong yang bersih.

Kes penerimaan yang mendedahkan dasar bersilang

Bina empat kes dan jalankan mengikut urutan. Hos di cawangan mencapai sumber khusus cawangan. Klien bergerak mencapai sumber yang sama melalui alamat kolamnya. Klien bergerak mencuba awalan cawangan yang tidak sepatutnya disentuh. Rakan cawangan cuba memperoleh alamat daripada kolam akses jauh. Dua yang terakhir itulah yang menangkap profil dikongsi, kerana ia gagal secara senyap dalam pemantauan biasa.

Kemudian sahkan satah data dan bukan konfigurasi. show crypto ikev2 sa dan show crypto ipsec sa memberitahu profil dan pemilih mana yang membawa setiap aliran, manakala show ip nat translations dan pembilang terowong menunjukkan sama ada laluan pulangan dan pengecualian benar-benar sepadan. Tracer atau tangkapan paket pada antara muka terowong menutup gelung.

Tulis identiti yang diperhatikan, alamat kolam dan dasar yang dipilih di sebelah setiap keputusan. Pusingan selesai apabila setiap kes memetakan kepada tepat satu rekod, dan tiada kes memerlukan pengecualian sementara untuk lulus.