Tista' interface WAN waħda sservi s-Site-to-Site u l-VPN mill-bogħod flimkien?

Indirizz pubbliku wieħed jista' jservi fl-istess ħin tunnel tal-fergħa u pool ta' utenti li jivvjaġġaw. Imma ma jistax iservi regola waħda komuni ta' aċċettazzjoni. Il-pari tal-fergħa u l-utent li jivvjaġġa huma differenti f'min jgħidu li huma, kif tiġi vverifikata dik il-prova, liema indirizzi jirċievu u liema prefissi jistgħu jwieġbu lilhom. Malli tibda tqis l-indirizz estern bħala dettall tat-trasport u mhux bħala identità, id-disinn isir ħafna aktar sempliċi.

Test ta' sens komun mgħaġġel: ipprova tikteb iż-żewġ rekords ta' aċċettazzjoni qabel ma tmiss ir-router. Jekk kundizzjoni waħda tat-tqabbil trid tkopri t-tnejn, il-politika diġà hija ambigwa, u l-ewwel sintomu se jidher bħala ħsara fir-routing jew fil-firewall meta fil-verità hija ħsara fl-identità.

Żewġ rekords qabel kull konfigurazzjoni

Ir-rekord tal-fergħa huwa qasir u stabbli. Huwa jelenka l-indirizz tal-pari jew l-isem taċ-ċertifikat, il-muftieħ maqsum minn qabel jew il-punt ta' fiduċja taċ-ċertifikat, is-subnetworks protetti fuq iż-żewġ naħat, l-interface tat-tunnel, u r-rotta statika li tibgħat it-traffiku lejn il-fergħa f'dak it-tunnel. Kull qasam jikkonċerna pari wieħed magħruf u sett fiss ta' prefissi.

Ir-rekord tal-ivvjaġġar huwa usa' u iktar personali. Huwa jelenka l-protokoll u l-port tal-klijent, kif utent jew apparat jawtentika ruħu, il-pool tal-indirizzi li jingħata mal-konnessjoni, ir-riżorsi li dak il-pool jista' jilħaq, il-prefissi tat-tunnel maqsum, is-servers DNS li jitmexxew lejn il-klijent, u kwalunkwe tieni fattur. Kull qasam iwieġeb mistoqsija dwar numru mhux magħruf ta' utenti u mhux dwar gateway wieħed.

Dan id-differenza fil-granularità hija r-raġuni kollha għaliex iż-żewġ rwoli jingħalqu għalihom infushom. Profil tal-fergħa jista' jafda muftieħ wieħed b'mod sikur għax il-muftieħ huwa ta' apparat wieħed f'sit wieħed. Profil tal-ivvjaġġar li jafda muftieħ wieħed tal-grupp għal kulħadd iġarraf ir-responsabbiltà skont l-utent, u dan normalment jinstab iktar tard, fir-reviżjoni ta' inċident u mhux fl-introduzzjoni.

Fejn jisseparaw it-tqabbil tal-pari u l-awtentikazzjoni

Fuq IOS XE il-profil IKEv2 iġorr il-parametri li ma jistgħux jiġu nnegozjati u l-kundizzjonijiet li jintużaw biex jintgħażel il-pari. Dan ifisser li n-naħa tal-fergħa u n-naħa tal-ivvjaġġar kull waħda teħtieġ il-profil tagħha, anki meta jispiċċaw fuq l-istess interface u anki meta jaqsmu PKI kriptografika waħda. Cisco tiddokumenta r-rwoli tal-profil, l-awtentikazzjoni u t-tqabbil fil-gwida tal-konfigurazzjoni IKEv2 għal IOS XE 17.

Il-profil tal-fergħa normalment iqabbel identità dejqa: indirizz remot, FQDN jew suġġett taċ-ċertifikat. Xi ħaġa bħal match identity remote address 198.51.100.10 255.255.255.255 torbot pari wieħed, u authentication remote pre-share b'muftieħ maħżun għal kull sit huwa biżżejjed. Żomm it-tqabbil kemm jista' jkun speċifiku skont l-inventarju tal-pari, għax wildcard li jikkoinċidi ogħla fl-ordni tal-għażla jista' jiġbed it-traffiku tal-fergħa fil-profil ħażin.

Il-profil tal-ivvjaġġar ma jistax jorbot indirizz, għalhekk iqabbel grupp, key-id jew qasam taċ-ċertifikat, u mbagħad jgħaddi l-verifika vera tal-utent lil AAA jew lill-politika tal-awtorizzazzjoni mwaħħla mal-profil. Din is-separazzjoni hija importanti: l-awtentikazzjoni tal-pari twieġeb jekk il-klijent huwiex awtorizzat jibni tunnel, u l-awtorizzazzjoni skont l-utent twieġeb liema pool u liema riżorsi jikseb. L-użu tal-muftieħ tal-fergħa bħala login universali jitfa' t-tieni tweġiba.

Il-qbiż u t-traduzzjoni jeħtieġu l-istess separazzjoni

Aċċettazzjoni u aċċessibilità huma problemi separati. Skambju ta' IKE u IPsec li jirnexxi jipprova li l-partijiet jaqblu dwar il-muftieħ; ma joħloqx rotta lejn il-pool li rċieva l-klijent. Għalhekk il-pools tal-aċċess mill-bogħod jeħtieġu triq tar-ritorn: rotta statika li tindika l-interface tat-tunnel jew protokoll tar-routing li jdaħħal is-sommarju tal-pool. Il-prefissi tal-fergħa normalment jaslu mill-istess proċess tar-routing li jservi l-bqija tas-sit.

It-traduzzjoni hija l-post fejn iż-żewġ rwoli l-aktar jaħbtu. It-traffiku bejn is-siti li jrid iżomm l-indirizzi privati tiegħu jeħtieġ eżenzjoni mill-NAT limitata għal dawk iż-żewġ prefissi, fiż-żewġ direzzjonijiet. Il-klijenti li jivvjaġġaw normalment jeħtieġu wkoll eżenzjoni għat-traffiku tagħhom fit-tunnel, imma t-traffiku tagħhom lejn l-internet jew jevita t-tunnel bit-tunnel maqsum jew joħroġ fil-hub wara n-NAT. Li teżenta kull ma jiġi minn tunnel hija l-iżball klassiku, għax ineħħi t-traduzzjoni wkoll minn traffiku li verament jeħtieġha.

Żomm ir-regoli tal-eżenzjoni dejqa daqs ir-regoli tal-aċċettazzjoni. Jekk is-sommarju tal-pool u l-prefiss tal-fergħa jikkoinċidu, it-triq tar-ritorn issir ambigwa ħafna qabel ma jiġi skartat xi pakkett, u s-sintomu jidher bħala sit li kultant jitlef subnet u mhux bħala ħsara nadifa tat-tunnel.

Każijiet ta' aċċettazzjoni li jiżvelaw politika maqsuma

Ibni erba' każijiet u mexxihom fl-ordni. Host fil-fergħa jilħaq riżors li huwa biss tal-fergħa. Klijent li jivvjaġġa jilħaq l-istess riżors permezz tal-indirizz tal-pool tiegħu. Klijent li jivvjaġġa jipprova prefiss tal-fergħa li m'għandux imiss. Il-pari tal-fergħa jipprova jikseb indirizz mill-pool tal-aċċess mill-bogħod. L-aħħar tnejn huma dawk li jaqbdu profil maqsum, għax jonqsu bil-kwiet fil-monitoraġġ normali.

Imbagħad ikkonferma l-pjan tad-dejta u mhux il-konfigurazzjoni. show crypto ikev2 sa u show crypto ipsec sa jgħidu liema profil u liema seletturi ġarrew kull fluss, filwaqt li show ip nat translations u l-kontaturi tat-tunnel juru jekk it-triq tar-ritorn u l-eżenzjoni tassew qablu. Tracer jew qbid tal-pakketti fuq l-interface tat-tunnel jagħlaq iċ-ċirku.

Ikteb l-identità osservata, l-indirizz tal-pool u l-politika magħżula ħdejn kull riżultat. Il-ġirja tintemm meta kull każ jikkorrespondi għal rekord wieħed eżatt, u ebda każ ma jeħtieġ eċċezzjoni temporanja biex jgħaddi.