Un selector IPsec larg nu este permisiune pentru fiecare serviciu

Două părți cad de acord să protejeze o întreagă subrețea, iar cineva citește acel acord ca permisiune de a ajunge la fiecare serviciu din ea. Acesta este mitul: selectorul spune ce trafic este dispus tunelul să transporte și nu spune nimic despre ce servicii permite organizația. O pereche de dispozitive poate negocia legitim un interval larg de adrese în timp ce politica de acces din interior permite două porturi, iar ambele afirmații rămân adevărate în același timp.

Acoperirea protejată nu este autorizare

Un selector de trafic face parte din acordul tunelului. El restrânge sau confirmă ce vor cripta părțile între ele, iar un selector larg este adesea cel mai simplu de operat atunci când cele două părți au multe fluxuri de transportat. Filtrul de servicii este un alt control într-un alt punct al traseului și decide ce poate fi folosit efectiv după ce pachetul a fost decriptat. Scoaterea filtrului pentru ca un test să treacă transformă o decizie de politică într-un accident.

Țineți cele două înregistrări separat în documentul de proiectare, pentru că un cititor care vede doar selectorul va deduce o autorizare care nu a fost niciodată acordată. Două rânduri într-o înregistrare de modificare împiedică asta și durează mai puțin decât discuția care urmează.

Descrieți un flux din ambele capete

Notați inițiatorul, respondenul, sursa și destinația așa cum sunt prezentate, protocolul și ambele porturi. Apoi inversați fiecare dintre aceste etichete pentru celălalt capăt, pentru că portul sursă efemer al unui client devine portul destinație al unui răspuns, iar rețeaua îndepărtată devine cea locală. O configurație copiată dintr-o parte în alta fără acea inversare este modul în care filtrele ajung să permită exact direcția greșită. Scrieți tabelul o dată și construiți ambele filtre din el.

Stabiliți modelul de selecție înainte de a copia ceva, deoarece un proiect bazat pe politică și un proiect bazat pe rute exprimă aceeași intenție prin obiecte diferite. Notați numele modelului lângă flux, altfel următorul inginer va petrece o după-amiază potrivind obiecte care nu au fost niciodată comparabile.

Găsiți filtrul care se aplică de fapt

Pe un ASA, filtrul VPN este o ACL atașată unei politici de grup și aplicată traficului după decriptare și înainte de criptare. Documentația Cisco pentru politica de grup descrie și moștenirea, inclusiv o valoare la nivel de utilizator care înlocuiește valoarea politicii de grup. Așadar, ACL-ul pe care l-ați editat poate să nu fie ACL-ul care guvernează sesiunea din fața dumneavoastră. Același lucru este valabil pentru obiectul utilizator, care poate suprascrie grupul fără a lăsa multe dovezi vizibile.

Inspectați sesiunea efectivă, nu obiectul despre care vă amintiți că l-ați modificat, și notați ce obiect de politică o furnizează. Acel singur pas rezolvă un număr surprinzător de rapoarte de tipul „filtrul este corect, dar nu funcționează“.

Direcție, porturi și cazul invers

Convenția documentată plasează rețeaua îndepărtată, sau adresele de client îndepărtat atribuite, în poziția de sursă și rețeaua locală în poziția de destinație, răspunsurile fiind exprimate prin schimbarea pozițiilor adreselor. Regulile de port stau deasupra acelei convenții și merită mai multă grijă decât adresele.

Modelul documentat poate lăsa o regulă de port destinație să afecteze inițierea inversă care folosește același port sursă, ceea ce înseamnă că filtrul nu este pur și simplu o regulă de cerere unidirecțională cu răspunsuri inofensive atașate. Raționați explicit prin ambele direcții de inițiere și includeți cazul pe care intenționați să îl refuzați.

Aceeași documentație limitează filtrul la conexiunile inițiale, deci nu este aplicarea universală a fiecărui canal secundar pe care îl deschide o aplicație inspectată. Acolo unde politica completă are nevoie de acea acoperire, ea aparține unei granițe separate, nu unei ACL întinse dincolo de scopul ei.

Testați trei cazuri înainte de a-l declara gata

Acceptați fluxul dorit, refuzați un serviciu pe care politica îl interzice și exersați cazul cu direcție inversă la care v-ați gândit. Rulați-le conform unui plan aprobat, cu aceleași identități și selectori pe care îi veți implementa. Un test care arată doar că serviciul permis funcționează demonstrează tunelul, nu politica.

Țineți acoperirea negociată și decizia de acces ca două înregistrări, pentru că explicarea a ceea ce permite un VPN le cere pe amândouă.