Ein brei IPsec-veljar er ikkje løyve til kvar teneste

To partar blir samde om å verne eit heilt subnett, og nokon les den avtala som løyve til å nå kvar teneste inni det. Det er myten: veljaren seier kva trafikk tunnelen er villig til å bere, og han seier ingenting om kva tenester organisasjonen tillèt. Eit par einingar kan lovleg forhandle om eit breitt adresseområde medan tilgangspolitikken inni det tillèt to portar, og begge utsegnene blir sanne samstundes.

Verna dekning er ikkje autorisasjon

Ein trafikkveljar er ein del av tunnelavtala. Han avgrensar eller stadfester kva partane vil kryptere mellom seg, og ein brei veljar er ofte det enklaste å drifte når dei to sidene har mange straumar å bere. Tenestefilteret er ein annan kontroll på eit anna punkt i banen, og det avgjer kva som faktisk kan brukast etter at pakken er dekryptert. Å fjerne filteret for å få éin test til å passere gjer ei policyavgjerd om til eit uhell.

Hald dei to oppføringane skilde i designdokumentet, fordi ein lesar som berre ser veljaren vil utleie ein autorisasjon som aldri vart gitt. To linjer i ei endringsoppføring hindrar det, og dei tek kortare tid enn diskusjonen som følgjer.

Skildre éin straum frå begge endar

Skriv ned initiativtakaren, respondenten, kjelda og målet slik dei er presenterte, protokollen og begge portane. Snu deretter kvar av desse etikettane for den andre enden, fordi ein klient sin mellombelse kjeldeport blir målporten i eit svar, og det eksterne nettet blir det lokale. Ein konfigurasjon som blir kopiert frå den eine sida til den andre utan den snuinga, er korleis filter endar med å tillate nøyaktig feil retning. Skriv tabellen éin gong og bygg begge filtera frå han.

Bli samde om valmodellen før du kopierer noko, sidan eit policybasert design og eit rutebasert design uttrykkjer same intensjon gjennom ulike objekt. Skriv modellnamnet ved sida av straumen, elles vil den neste ingeniøren bruke ein ettermiddag på å matche objekt som aldri var samanliknbare.

Finn filteret som faktisk gjeld

På ein ASA er VPN-filteret ein ACL som er knytt til ein gruppepolicy og brukt på trafikk etter dekryptering og før kryptering. Dokumentasjonen til Cisco for gruppepolicy skildrar òg arv, inkludert ein verdi på brukarnivå som overstyrer gruppepolicyverdien. Så ACL-en du redigerte er kanskje ikkje ACL-en som styrer økta framfor deg. Det same gjeld brukarobjektet, som kan overstyre gruppa utan å etterlate mykje synleg bevis.

Undersøk den effektive økta i staden for objektet du hugsar at du endra, og noter kva policyobjekt som leverer han. Det eine trinnet løyser eit overraskande tal rapportar om at «filteret er rett, men det verkar ikkje».

Retning, portar og det motsette tilfellet

Den dokumenterte konvensjonen plasserer det eksterne nettet, eller dei tildelte eksterne klientadressene, i kjeldeplasseringa og det lokale nettet i målplasseringa, med svar uttrykte ved å byte adresseplasseringane. Portreglar ligg oppå den konvensjonen og fortener meir omhu enn adressene.

Den dokumenterte modellen kan la ein målportregel påverke motsett initiering som brukar den same kjeldeporten, noko som betyr at filteret ikkje berre er ein einveg forespørselsregel med ufarlege svar. Resonnér eksplisitt gjennom begge initieringsretningane, og ta med tilfellet du har tenkt å avvise.

Den same dokumentasjonen avgrensar filteret til innleiande tilkoplingar, så det er ikkje universell handheving av kvar sekundærkanal ein inspisert applikasjon opnar. Der den fullstendige policyen treng den dekninga, høyrer ho heime ved ei eiga grense i staden for i ein ACL som blir strekt forbi føremålet sitt.

Test tre tilfelle før du kallar det ferdig

Godta den tiltenkte straumen, avvis ei teneste som policyen forbyr, og øv på tilfellet med motsett retning som du resonnerte deg fram til. Køyr dei under ein godkjend plan med dei same identitetane og veljarane du skal rulle ut. Ein test som berre viser at den tillatne tenesta verkar, demonstrerer tunnelen, ikkje policyen.

Hald den forhandla dekninga og tilgangsavgjerda som to oppføringar, fordi å forklare kva ein VPN tillèt krev begge.