En bred IPsec-velger er ikke tillatelse til hver tjeneste

To parter blir enige om å beskytte et helt subnett, og noen leser den avtalen som tillatelse til å nå hver tjeneste inni det. Det er myten: velgeren sier hvilken trafikk tunnelen er villig til å bære, og den sier ingenting om hvilke tjenester organisasjonen tillater. Et par enheter kan lovlig forhandle om et bredt adresseområde mens tilgangspolicyen inni det tillater to porter, og begge utsagnene forblir sanne samtidig.

Beskyttet dekning er ikke autorisasjon

En trafikkvelger er en del av tunnelavtalen. Den avgrenser eller bekrefter hva partene vil kryptere mellom seg, og en bred velger er ofte det enkleste å drifte når de to sidene har mange strømmer å bære. Tjenestefilteret er en annen kontroll på et annet punkt i banen, og det avgjør hva som faktisk kan brukes etter at pakken er dekryptert. Å fjerne filteret for å få én test til å passere gjør en policybeslutning om til en ulykke.

Hold de to oppføringene atskilt i designdokumentet, fordi en leser som bare ser velgeren vil utlede en autorisasjon som aldri ble gitt. To linjer i en endringsoppføring forhindrer det, og de tar kortere tid enn diskusjonen som følger.

Beskriv én strøm fra begge ender

Skriv ned initiativtakeren, respondenten, kilden og målet slik de er presentert, protokollen og begge portene. Snu deretter hver av disse etikettene for det andre endepunktet, fordi en klients midlertidige kildeport blir målporten i et svar, og det eksterne nettverket blir det lokale. En konfigurasjon som kopieres fra den ene siden til den andre uten den snuingen, er hvordan filtre ender med å tillate nøyaktig feil retning. Skriv tabellen én gang og bygg begge filtrene fra den.

Bli enige om valgmodellen før du kopierer noe, siden et policybasert design og et rutebasert design uttrykker samme intensjon gjennom ulike objekter. Skriv modellnavnet ved siden av strømmen, ellers vil den neste ingeniøren bruke en ettermiddag på å matche objekter som aldri var sammenlignbare.

Finn filteret som faktisk gjelder

På en ASA er VPN-filteret en ACL som er knyttet til en gruppepolicy og brukt på trafikk etter dekryptering og før kryptering. Ciscos dokumentasjon for gruppepolicy beskriver også arv, inkludert en verdi på brukernivå som overstyrer gruppepolicyverdien. Så ACL-en du redigerte er kanskje ikke ACL-en som styrer økten foran deg. Det samme gjelder brukerobjektet, som kan overstyre gruppen uten å etterlate mye synlig bevis.

Undersøk den effektive økten i stedet for objektet du husker at du endret, og noter hvilket policyobjekt som leverer den. Det ene trinnet løser et overraskende antall rapporter om at «filteret er riktig, men det virker ikke».

Retning, porter og det motsatte tilfellet

Den dokumenterte konvensjonen plasserer det eksterne nettverket, eller de tildelte eksterne klientadressene, i kildeplasseringen og det lokale nettverket i målplasseringen, med svar uttrykt ved å bytte adresseplasseringene. Portregler ligger oppå den konvensjonen og fortjener mer omhu enn adressene.

Den dokumenterte modellen kan la en målportregel påvirke motsatt initiering som bruker den samme kildeporten, noe som betyr at filteret ikke bare er en enveis forespørselsregel med ufarlige svar. Resonner eksplisitt gjennom begge initieringsretningene, og ta med tilfellet du har tenkt å avvise.

Den samme dokumentasjonen begrenser filteret til innledende tilkoblinger, så det er ikke universell håndheving av hver sekundærkanal en inspisert applikasjon åpner. Der den fullstendige policyen trenger den dekningen, hører den hjemme ved en egen grense i stedet for i en ACL som strekkes forbi formålet sitt.

Test tre tilfeller før du kaller det ferdig

Godta den tiltenkte strømmen, avvis en tjeneste som policyen forbyr, og øv på tilfellet med motsatt retning som du resonnerte deg frem til. Kjør dem under en godkjent plan med de samme identitetene og velgerne du skal rulle ut. En test som bare viser at den tillatte tjenesten virker, demonstrerer tunnelen, ikke policyen.

Hold den forhandlede dekningen og tilgangsbeslutningen som to oppføringer, fordi å forklare hva en VPN tillater krever begge.