Selettur IPsec wiesa' mhuwiex permess għal kull servizz

Żewġ pari jaqblu li jipproteġu subnet sħiħa, u xi ħadd jaqra dak il-ftehim bħala permess biex jilħaq kull servizz fiha. Dan huwa l-mit: is-selettur jgħid liema traffiku t-tunnel hija lesta li ġġorr, u ma jgħid xejn dwar liema servizzi l-organizzazzjoni tippermetti. Par apparati jistgħu legalment jinnegozjaw firxa wiesgħa ta' indirizzi filwaqt li l-politika ta' aċċess fiha tippermetti żewġ portijiet, u ż-żewġ dikjarazzjonijiet jibqgħu veri fl-istess ħin.

Il-kopertura protetta mhijiex awtorizzazzjoni

Selettur tat-traffiku huwa parti mill-ftehim tat-tunnel. Huwa jnaqqas jew jikkonferma dak li l-pari se jikkriptaw bejniethom, u selettur wiesa' spiss huwa l-aktar ħaġa sempliċi biex topera meta ż-żewġ naħat ikollhom ħafna flussi x'ġorru. Il-filtru tas-servizz huwa kontroll differenti f'punt differenti fil-mogħdija, u jiddeċiedi x'jista' attwalment jintuża ladarba l-pakkett ikun dekriptat. It-tneħħija tal-filtru biex jgħaddi test wieħed tbiddel deċiżjoni ta' politika f'inċident.

Żomm iż-żewġ rekords separatament fid-dokument tad-disinn, għax qarrej li jara biss is-selettur se jiddeduċi awtorizzazzjoni li qatt ma ngħatat. Żewġ linji f'rekord tal-bidla jipprevjenu dan, u jieħdu inqas ħin mill-argument li jiġi wara.

Iddeskrivi fluss wieħed miż-żewġt itruf

Ikteb l-inizjatur, ir-risponditur, is-sors u d-destinazzjoni kif ippreżentati, il-protokoll u ż-żewġ portijiet. Imbagħad aqleb kull wieħed minn dawk it-tikketti għall-burdata l-oħra, għax il-port tas-sors temporanju tal-klijent isir id-destinazzjoni tal-port ta' tweġiba u n-netwerk remot isir dak lokali. Konfigurazzjoni kopjata minn naħa għall-oħra mingħajr dak it-tqalib hija kif il-filtri jispiċċaw jippermettu eżattament id-direzzjoni żbaljata. Ikteb it-tabella darba u ibni ż-żewġ filtri minnha.

Aqblu l-mudell tal-għażla qabel ma tikkopja xi ħaġa, għax disinn ibbażat fuq il-politika u disinn ibbażat fuq ir-rotta jesprimu l-istess intenzjoni permezz ta' oġġetti differenti. Ikteb l-isem tal-mudell ħdejn il-fluss, inkella l-inġinier li jmiss se jqatta' wara nofsinhar iqabbel oġġetti li qatt ma kienu komparabbli.

Sib il-filtru li fil-fatt japplika

Fuq ASA, il-filtru VPN huwa ACL imwaħħal ma' politika tal-grupp u applikat għal traffiku wara d-dekriptaġġ u qabel il-kriptaġġ. Id-dokumentazzjoni tal-politika tal-grupp ta' Cisco tiddeskrivi wkoll il-wirt, inkluż valur fil-livell tal-utent li jissostitwixxi l-valur tal-politika tal-grupp. Allura l-ACL li editjajt jista' ma jkunx l-ACL li jmexxi s-sessjoni quddiemek. L-istess jgħodd għall-oġġett tal-utent, li jista' jegħleb il-grupp mingħajr ma jħalli wisq evidenza viżibbli.

Spezzjona s-sessjoni effettiva aktar milli l-oġġett li tiftakar li bdilt, u innota liema oġġett tal-politika jipprovdiha. Dak il-pass wieħed isolvi numru sorprendenti ta' rapporti „il-filtru huwa tajjeb imma mhux qed jaħdem“.

Direzzjoni, portijiet u l-każ invers

Il-konvenzjoni dokumentata tqiegħed in-netwerk remot, jew l-indirizzi tal-klijent remot assenjati, fil-pożizzjoni tas-sors u n-netwerk lokali fil-pożizzjoni tad-destinazzjoni, bit-tweġibiet espressi billi jinbidlu l-pożizzjonijiet tal-indirizzi. Ir-regoli tal-portijiet joqogħdu fuq dik il-konvenzjoni u jistħoqqilhom aktar attenzjoni mill-indirizzi.

Il-mudell dokumentat jista' jħalli regola tal-port tad-destinazzjoni taffettwa inizjazzjoni inversa li tuża dak l-istess port tas-sors, li jfisser li l-filtru mhuwiex sempliċement regola ta' talba f'direzzjoni waħda b'tweġibiet bla ħsara. Raġuna b'mod espliċitu permezz taż-żewġ direzzjonijiet tal-inizjazzjoni, u inkludi l-każ li biħsiebek tirrifjuta.

L-istess dokumentazzjoni tillimita l-filtru għal konnessjonijiet inizjali, għalhekk mhuwiex infurzar universali ta' kull kanal sekondarju li tiftaħ applikazzjoni spezzjonata. Fejn il-politika sħiħa teħtieġ dik il-kopertura, dan jappartjeni għal konfini separat aktar milli f'ACL li qed jiġġebbed lil hinn mill-iskop tiegħu.

Ittestja tliet każijiet qabel ma tgħid li spiċċa

Aċċetta l-fluss maħsub, irrifjuta servizz li l-politika tipprojbixxi, u eżerċita il-każ tad-direzzjoni inversa li raġunajt dwaru. Mexxihom taħt pjan approvat bl-istess identitajiet u seletturi li se tuża. Test li juri biss li s-servizz permess jaħdem juri t-tunnel, mhux il-politika.

Żomm il-kopertura nnegozjata u d-deċiżjoni tal-aċċess bħala żewġ rekords, għax biex tispjega x'jippermetti VPN jeħtieġ it-tnejn.