Szeroki selektor IPsec nie jest zgodą na każdą usługę
To, na co zgadzasz się chronić, i to, na co pozwalasz, to dwie odrębne decyzje. Przeczytaj kierunek ASA vpn-filter, zanim uznasz, że zezwolenie jest jednokierunkowe.
Dwie strony zgadzają się chronić całą podsieć, a ktoś czyta tę umowę jako zgodę na dotarcie do każdej usługi w niej. To mit: selektor mówi, jaki ruch tunel jest gotów przenosić, i nie mówi nic o tym, jakie usługi dopuszcza organizacja. Para urządzeń może legalnie wynegocjować szeroki zakres adresów, podczas gdy polityka dostępu w nim zezwala na dwa porty, i oba stwierdzenia pozostają prawdziwe jednocześnie.
Chroniony zasięg nie jest upoważnieniem
Selektor ruchu jest częścią umowy tunelu. Zawęża lub potwierdza to, co strony będą szyfrować między sobą, a szeroki selektor jest często najprostszą rzeczą w utrzymaniu, gdy obie strony mają wiele przepływów do przeniesienia. Filtr usług jest inną kontrolą w innym punkcie ścieżki i decyduje, co wolno faktycznie użyć po odszyfrowaniu pakietu. Usunięcie filtra, aby jeden test przeszedł, zamienia decyzję polityki w wypadek.
Trzymaj oba zapisy osobno w dokumencie projektowym, bo czytelnik, który widzi tylko selektor, wywnioskuje upoważnienie, którego nigdy nie udzielono. Dwie linie w zapisie zmiany temu zapobiegają i zajmują mniej czasu niż spór, który po nich następuje.
Opisz jeden przepływ z obu stron
Zapisz inicjatora, respondera, źródło i miejsce docelowe tak, jak są przedstawione, protokół i oba porty. Następnie odwróć każdą z tych etykiet dla drugiego punktu końcowego, bo efemeryczny port źródłowy klienta staje się portem docelowym odpowiedzi, a sieć zdalna staje się lokalną. Konfiguracja skopiowana z jednej strony na drugą bez tego odwrócenia to sposób, w jaki filtry ostatecznie zezwalają dokładnie na niewłaściwy kierunek. Zapisz tabelę raz i zbuduj z niej oba filtry.
Uzgodnij model wyboru, zanim cokolwiek skopiujesz, ponieważ projekt oparty na polityce i projekt oparty na trasach wyrażają ten sam zamiar przez różne obiekty. Zapisz nazwę modelu obok przepływu, inaczej następny inżynier spędzi popołudnie na dopasowywaniu obiektów, których nigdy nie można było porównać.
Znajdź filtr, który faktycznie obowiązuje
Na ASA filtr VPN to ACL dołączona do polityki grupy i stosowana do ruchu po odszyfrowaniu i przed szyfrowaniem. Dokumentacja Cisco dotycząca polityk grup opisuje też dziedziczenie, w tym wartość na poziomie użytkownika, która zastępuje wartość polityki grupy. Zatem ACL, którą edytowałeś, może nie być tą ACL, która rządzi sesją przed tobą. To samo dotyczy obiektu użytkownika, który może nadpisać grupę, nie zostawiając wielu widocznych dowodów.
Sprawdź efektywną sesję, a nie obiekt, który pamiętasz, że zmieniłeś, i odnotuj, który obiekt polityki ją dostarcza. Ten jeden krok rozwiązuje zaskakująco wiele zgłoszeń typu „filtr jest poprawny, ale nie działa“.
Kierunek, porty i przypadek odwrotny
Udokumentowana konwencja umieszcza sieć zdalną lub przypisane adresy klienta zdalnego w pozycji źródła, a sieć lokalną w pozycji miejsca docelowego, przy czym odpowiedzi są wyrażane przez zamianę pozycji adresów. Reguły portów opierają się na tej konwencji i zasługują na więcej staranności niż adresy.
Udokumentowany model może pozwolić regule portu docelowego wpływać na inicjację odwrotną, która używa tego samego portu źródłowego, co oznacza, że filtr nie jest po prostu jednokierunkową regułą żądania z nieszkodliwymi odpowiedziami. Przeanalizuj jawnie oba kierunki inicjacji i uwzględnij przypadek, który zamierzasz odrzucić.
Ta sama dokumentacja ogranicza filtr do połączeń początkowych, więc nie jest to uniwersalne egzekwowanie każdego kanału wtórnego, który otwiera inspekcjonowana aplikacja. Tam, gdzie pełna polityka wymaga takiego pokrycia, należy ono do odrębnej granicy, a nie do ACL rozciąganej poza jej przeznaczenie.
Przetestuj trzy przypadki, zanim uznasz to za skończone
Zaakceptuj zamierzony przepływ, odmów usługi, której polityka zabrania, i przećwicz przypadek kierunku odwrotnego, o którym rozumowałeś. Uruchom je według zatwierdzonego planu z tymi samymi tożsamościami i selektorami, które wdrożysz. Test, który pokazuje tylko, że dozwolona usługa działa, dowodzi tunelu, a nie polityki.
Trzymaj wynegocjowany zasięg i decyzję o dostępie jako dwa zapisy, bo wyjaśnienie, na co pozwala VPN, wymaga obu.