X'għandek tniżżel għal VPN bejn is-siti: seletturi u ambitu

Sitt xhur wara li jitwaqqaf tunnel, subnet ġdida tieqaf taqbel mal-politika u l-uniku dokument fuq ix-share jgħid VPN tal-uffiċċju. Dan huwa l-falliment li r-rekord tas-seletturi jipprevjeni, u huwa speċifiku: sett ta' indirizzi nbidel waqt li d-dokumentazzjoni ma nbidlitx. Li tikteb ir-rekord sew ifisser li tkun taf liema minn diversi settijiet ta' indirizzi qed tiddeskrivi, u li tirreġistra dak li n-naħa l-oħra tassew tinforza, mhux dak li kkonfigurajt.

Ikkonfigurat mhuwiex innegozjat

F'tunnel IPsec ibbażat fuq il-politika, kull naħa tipproponi seletturi tat-traffiku: firxiet tas-sors u tad-destinazzjoni għall-assoċjazzjoni tifel. In-naħa li twieġeb tista' tnaqqas dik il-proposta, għalhekk l-assoċjazzjoni installata tista' tkopri inqas milli telenka l-konfigurazzjoni. Rekord li jikkopja l-konfigurazzjoni jiddeskrivi intenzjoni, mhux l-ambitu attwali tal-protezzjoni. It-tnejn jitbiegħdu bil-kwiet, u xejn fil-paġna tal-istat tat-tunnel ma jindika dan.

Żomm iż-żewġ kolonni, mad-data li osservajthom. Is-selettur ikkonfigurat huwa dak li ħsibt; dak innegozjat huwa dak li l-kernel qed jinforza bħalissa. Meta jiddifferixxu, dik id-differenza tispjega falliment sorprendenti ferm aktar spiss milli tagħmel bug tal-irrotar.

Assoċjazzjoni waħda lanqas tirrappreżenta kull par ikkonfigurat. Tunnel b'diversi kombinazzjonijiet ta' seletturi jista' jispiċċa b'diversi assoċjazzjonijiet tfal, u rekord li jelenka waħda minnhom huwa inventarju parzjali. Elenkhom minflok ma tagħmilhom fil-qosor.

Tunnels ibbażati fuq ir-rotta jagħżlu b'mod differenti

B'interface ibbażat fuq ir-rotta, it-tabella tal-irrotar tiddeċiedi x'jidħol fit-tunnel u s-seletturi jistgħu jkunu wiesgħa apposta. Dan huwa disinn leġittimu mhux negliġenza, u r-rekord irid jiddeskrivih hekk. Ikteb ir-rotta, l-interface li lejha tindika, u l-politika tal-firewall li tillimita liema servizzi jistgħu jintlaħqu. L-ambitu tal-protezzjoni huwa wiesa' apposta, u l-ambitu tas-servizz jagħmel id-daqsien.

Li tikkopja mudell ibbażat fuq il-politika fuq tunnel ibbażat fuq ir-rotta jipproduċi dokument li jiddeskrivi mekkaniżmu li l-iskjerament ma jużax. L-inġinier li jmiss imbagħad ifittex seletturi li qatt ma kellhom ikunu hemm, u jikkonkludi li t-tunnel huwa kkonfigurat ħażin meta sempliċement huwa dokumentat ħażin.

It-traduzzjoni tappartjeni għall-istess tabella

Meta NAT jippreżenta firxa differenti lin-naħa l-oħra, irreġistra l-prefissi oriġinali u tradotti flimkien. Innota l-istadju li fih is-seletturi u r-regoli tal-aċċess jaqblu magħhom, għax l-ordni tiddeċiedi jekk in-naħa l-bogħida qatt tarax l-indirizz li ktibt. Tabella b'waħda biss miż-żewġ firxiet hija agħar minn tabella nieqsa, għax tidher kompluta.

Dan huwa d-dettall li jkisser tunnel li jaħdem wara bidla fin-NAT: is-selettur xorta jaqbel mal-prefiss oriġinali, in-naħa l-oħra issa tirċievi wieħed tradott, u r-rotta tar-ritorn tagħha tindika lejn indirizz li m'għadux jeżisti. Xejn ma jirreġistra żball fil-mument li t-tnejn jieqfu jaqblu.

Id-DNS privat jappartjeni fl-istess post. Isem li jiġi riżolt f'indirizz li ma jistax jintuża mis-sit rilevanti huwa żball fid-dokumentazzjoni b'ticket ta' appoġġ imqabbad miegħu, u se jiġi attribwit lit-tunnel.

Qabbad ir-rekwiżit tas-servizz

Firxa protetta mhijiex lista ta' permessi. Ikteb liema servizzi suppost jintlaħqu minn liema sors, u min jippossjedi l-applikazzjoni warajhom. Dawk iż-żewġ oqsma jwieġbu mistoqsijiet differenti, u li tgħaqqadhom huwa kif reviżjoni tas-sigurtà tispiċċa targumenta dwar l-irrotar minflok dwar l-aċċess.

Imbagħad semmi l-amministratur tan-netwerk li jżomm ir-regola. Inventarju tas-seletturi mingħajr sid jiskadi bil-kwiet, u dak li jkun skadut ma jingħadx jekk huwiex żbaljat meta t-tunnel jinqasam fl-ieħor ta' filgħodu. Is-sid huwa wkoll il-persuna li tista' tikkonferma li bidla kienet apposta.

Ibdel ir-rekord fi pjan ta' test

Għal kull mogħdija meħtieġa, agħżel host tas-sors u tad-destinazzjoni rappreżentattivi u nnota r-rotta, is-servizz u l-gateway tar-risposta mistennija. Dan ibiddel id-dokument fi pjan ta' test minflok deskrizzjoni. Aqra l-assoċjazzjoni attiva bil-kmand hawn taħt, u qabbelha mal-linja nnegozjata li ktibt.

swanctl --list-sas

Skelet ta' ħames linji normalment biżżejjed biex ir-rekord jibqa' onest. Il-verżjoni hawn taħt tidħol f'ticket ta' bidla mingħajr ma tinqata':

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Ping sal-gateway biss mhuwiex it-test ta' aċċettazzjoni. Qatt ma jgħaddi mill-mogħdija tat-transitu, għalhekk jista' jgħaddi waqt li kull fluss mgħoddi jonqos. Ittestja minn host fuq naħa għal servizz fuq l-oħra u kkonferma li r-risposta tasal mit-tunnel. Jekk tgħaddi biss il-ping, ir-rekord għadu kif sab il-problema tal-forwarding li kien miktub biex jipprevjeni. Id-dokumentazzjoni tal-forwarding ta' strongSwan tispjega kif is-seletturi, ir-rotot u l-forwarding jinteraġixxu fuq peer Linux.