ایا یو WAN انټرفیس کولی شي د سایټونو ترمنځ او لرې VPN دواړه خدمت وکړي؟

یو عامه پته کولی شي په یو وخت کې د څانګې ټنل او د ګرځېدونکو کاروونکو یوه زیرمه خدمت کړي۔ خو دا نشي کولی یو ګډ د داخلېدو قاعده خدمت کړي۔ د څانګې همکار او ګرځېدونکی کاروونکی توپیر لري په دې کې چې ځان څوک بولي، هغه ثبوت څنګه ګڼل کېږي، کوم پتې ترلاسه کوي، او کوم پریفکسونه کولی شي ورته ځواب ووايي۔ کله چې بهرنۍ پته د هویت پر ځای د لېږد تفصیل وګڼئ، ډیزاین ډېر ساده کېږي۔

یو چټک د عقل ازموینه: د رائوټر د لاس وهوړولو دمخه دواړه د داخلېدو ریکارډونه ولیکئ۔ که یوازې یو د سمون شرط باید دواړه پوښي، نو پالیسي لا دمخه مبهمه ده، او لومړنی نښه به د روټینګ یا فایر وال د خرابۍ په څېر ښکاره شي، حال دا چې په رښتیا د هویت خرابي ده۔

له هرې کنفیګوریشن دمخه دوه ریکارډونه

د څانګې ریکارډ لنډ او ټینګ دی۔ دا د همکار پته یا د سند نوم، مخکې شریک شوی کیلي یا د سند د باور نقطه، د دواړو خواوو ساتل شوي فرعي شبکې، د ټنل انټرفیس، او هغه ثابته لار لیست کوي چې د څانګې په لور ترافیک همغه ټنل ته لېږي۔ هر ساحه د یو پېژندل شوي همکار او د پریفکسونو د یوې ټاکلې ټولګې په اړه ده۔

د ګرځېدو ریکارډ پراختر او شخصي دی۔ دا د کلاینټ پروتوکول او پورټ، د کاروونکي یا وسیلې د تصدیق طریقه، هغه پته زیرمه چې د نښلېدو پر مهال ورکول کېږي، هغه سرچینې چې دا زیرمه ورته رسېدلی شي، د ووېشل شوي ټنل پریفکسونه، هغه DNS سرورونه چې کلاینټ ته ورټېل وهل کېږي، او هر دویم فکتور لیستوي۔ هر ساحه د یوې دروازې په اړه نه، بلکې د نامعلوم شمېر کاروونکو په اړه پوښتنې ته ځواب وايي۔

په تفصیل کې همدا توپیر د دواړو رولونو د جلا کېدو بشپړ سبب دی۔ د څانګې پروفایل کولی شي په یوې کیلي په خوندي ډول باور وکړي، ځکه کیلي په یوه ځای کې د یوې وسیلې ده۔ هغه ګرځېدونکی پروفایل چې د ټولو لپاره په یوه ګروپي کیلي باور کوي، د هر کاروونکي مسؤلیت ړنګوي، او دا معمولاً وروسته، د پېښې د بیاکتنې پر مهال نه د خپرولو پر مهال موندل کېږي۔

د همکارانو سمون او تصدیق چېرې جلا کېږي

په IOS XE کې IKEv2 پروفایل هغه پارامیټرونه لېږدوي چې پرې خبرې نشي کېدلی، او هغه شرایط چې د همکار د ټاکلو لپاره کارول کېږي۔ دا مانا دا ده چې د څانګې خوا او د ګرځېدو خوا دواړو ته خپل پروفایل ته اړتیا ده، حتی کله چې دوی په یوه انټرفیس پای ته ورسېږي او حتی کله چې یو کریپټو PKI شریک کړي۔ Cisco د پروفایل، تصدیق او سمون رولونه په خپل د IOS XE 17 لپاره د IKEv2 د کنفیګوریشن لارښود کې۔

د څانګې پروفایل معمولاً له یوې تنګې هویت سره سمون خوري: لرې پته، FQDN، یا د سند موضوع۔ match identity remote address 198.51.100.10 255.255.255.255 ته ورته یوه کرښه یو همکار ټینګوي، او د هر سایټ لپاره ساتل شوې کیلي سره authentication remote pre-share بسنه کوي۔ سمون تر هغه ځایه مشخص وساتئ چې د همکارانو لیست اجازه ورکوي، ځکه چې د ټاکلو په ترتیب کې لوړ پراته یو ګډېدونکی wildcard کولی شي د څانګې ترافیک ناسم پروفایل ته راکاږي۔

د ګرځېدو پروفایل نشي کولی پته ټینګه کړي، نو له یوې ډلې، key-id یا د سند له یوې ساحې سره سمون خوري، بیا د کاروونکي ریښتینی ګڼل AAA یا پروفایل ته نښتې شوې اجازه پالیسي ته سپاري۔ دا جلاوالی مهم دی: د همکار تصدیق ځواب وايي چې کلاینټ ته د ټنل جوړولو اجازه ده که نه، او د هر کاروونکي اجازه وايي چې کومه زیرمه او کومې سرچینې ترلاسه کوي۔ د څانګې کیلي د عمومي ننوتلو په توګه کارول دویم ځواب غورځوي۔

لېږد او ژباړه هم همدا جلاوالی غواړي

داخېدل او رسېدل بېلې ستونزې دي۔ بریالی IKE او IPsec تبادله ثابتوي چې دواړه خواوې پر کیلیو سره یوې دي؛ دا هغې زیرمې ته لار نه جوړوي چې کلاینټ ترلاسه کړې وه۔ له همدې امله د لرې لاسرسي زیرمو ته د بېرته راستنېدو لار ښکاره ده: یا د ټنل انټرفیس ته اشاره کوونکې ثابته لار، یا هغه روټینګ پروتوکول چې د زیرمې لنډیز دننه کوي۔ د څانګې پریفکسونه معمولاً د همغه روټینګ پروسې له لارې راځي چې د سایټ پاتې برخه خدمت کوي۔

ژباړه هغه ځای دی چې دواړه رولونه تر ټولو ډېر ټکر کوي۔ هغه ترافیک چې خپل خصوصي پتې باید وساتي د NAT له معافیت څخه کار اخلي چې همدغو دوو پریفکسونو ته محدود وي، په دواړو لورو۔ ګرځېدونکو کلاینټونو ته معمولاً د ټنل دننه د خپل ترافیک لپاره هم معافیت ته اړتیا وي، خو د انټرنېټ په لور یې ترافیک یا د ووېشل شوي ټنل له لارې ټنل ته څنګ وهي، یا له NAT وروسته په هب کې راوځي۔ له ټنل څخه د راتلونکي هر څه معاف کول کلاسیکه تېروتنه ده، ځکه دا هغه ترافیک ته هم ژباړه نه پرېږدي چې واقعاً ورته اړتیا لري۔

د معافیت قاعدې د داخلېدو د قاعدو په څېر تنګ وساتئ۔ که د زیرمې لنډیز او د څانګې پریفکس سره ګډ شي، د بېرته راستنېدو لار له دې ډېر دمخه مبهمه کېږي چې کوم پاکټ وغورځول شي، او نښه د یو سایټ د کله ناکله د یوې فرعي شبکې د ورکېدو په څېر ښکاره کېږي، نه د ټنل د یوې پاکې خرابۍ په څېر۔

هغه د منلو قضیې چې کرښې کرښې پالیسي بربنډوي

څلور قضیې جوړې کړئ او په ترتیب یې وچلوئ۔ د څانګې یو هوسټ یوازې څانګې ته ځانګړې سرچینې ته رسېږي۔ ګرځېدونکی کلاینټ د خپلې زیرمې پتې له لارې همغې سرچینې ته رسېږي۔ ګرځېدونکی کلاینټ هغه د څانګې پریفکس ته لاس وړي چې باید ورته لاس نه وي وړی۔ د څانګې همکار هڅه کوي له لرې لاسرسي زیرمې څخه پته ترلاسه کړي۔ وروستي دوه هغه دي چې ګډ پروفایل نيسي، ځکه په عادي څارنه کې په غلې ډول ناکامېږي۔

بیا د معلوماتو پوړ تایید کړئ، نه کنفیګوریشن۔ show crypto ikev2 sa او show crypto ipsec sa وايي کوم پروفایل او کوم غورځوونکي هر بهیر لېږداوه، حال دا چې show ip nat translations او د ټنل شمېرونکي ښيي چې د بېرته راستنېدو لار او معافیت واقعاً سره سمون درلود که نه۔ د ټنل په انټرفیس tracer یا د پاکټ نیول حلقه بندوي۔

د هرې پایلې ترڅنګ لیدل شوې هویت، د زیرمې پته او ټاکل شوې پالیسي ولیکئ۔ ګرد هغه وخت بشپړ کېږي چې هره قضیه په عین ډول یو ریکارډ سره سمون ولري او هېڅ قضیه د تېرېدو لپاره لنډمهاله استثنا ته اړتیا ونلري۔