Široki IPsec selektor nije dozvola za svaku uslugu

Dvije strane dogovaraju se da zaštite cijelu podmrežu, a netko to čita kao dozvolu da dosegne svaku uslugu unutar nje. To je mit: selektor govori koji je promet tunel spreman nositi i ne govori ništa o tome koje usluge organizacija dopušta. Par uređaja može legitimno pregovarati širok raspon adresa dok pristupna politika unutar njega dopušta dva porta, i obje tvrdnje ostaju istinite istodobno.

Zaštićena pokrivenost nije ovlaštenje

Selektor prometa dio je dogovora o tunelu. Sužava ili potvrđuje što će strane šifrirati između sebe, a široki je selektor često najjednostavnije održavati kada obje strane imaju mnogo tokova. Filter usluga drugi je mehanizam na drugom mjestu u putu i odlučuje što se doista smije koristiti nakon dešifriranja paketa. Uklanjanje filtera da bi jedan test prošao pretvara odluku politike u nesreću.

Držite dva zapisa odvojeno u projektnom dokumentu, jer čitatelj koji vidi samo selektor zaključit će ovlaštenje koje nikada nije dano. Dva retka u zapisu promjene to sprječavaju i traju kraće od rasprave koja slijedi.

Opišite jedan tok s oba kraja

Zapišite inicijatora, odgovornu stranu, izvor i odredište kako su prikazani, protokol i oba porta. Zatim obrnite svaku od tih oznaka za drugi kraj, jer privremeni izvorni port klijenta postaje odredišni port odgovora, a udaljena mreža postaje lokalna. Konfiguracija kopirana s jedne strane na drugu bez tog obrtanja razlog je zašto filteri na kraju dopuštaju točno pogrešan smjer. Zapišite tablicu jednom i izgradite oba filtera iz nje.

Dogovorite model odabira prije nego što bilo što kopirate, jer dizajn utemeljen na politikama i dizajn utemeljen na rutama izražavaju istu namjeru kroz različite objekte. Zapišite naziv modela uz tok, inače će sljedeći inženjer provesti poslijepodne usklađujući objekte koji nikada nisu bili usporedivi.

Nađite filter koji se doista primjenjuje

Na ASA je VPN filter ACL pridružen grupnoj politici i primijenjen na promet nakon dešifriranja i prije šifriranja. Cisco dokumentacija o grupnoj politici opisuje i nasljeđivanje, uključujući vrijednost na razini korisnika koja zamjenjuje vrijednost grupne politike. Dakle, ACL koji ste uređivali možda nije ACL koji upravlja sesijom pred vama. Isto vrijedi i za korisnički objekt, koji može nadjačati grupu bez ostavljanja mnogo vidljivih dokaza.

Pregledajte djelotvornu sesiju, a ne objekt za koji se sjećate da ste ga mijenjali, i zabilježite koji objekt politike je daje. Taj jedan korak rješava iznenađujuće mnogo prijava tipa „filter je točan, ali ne radi“.

Smjer, portovi i obrnuti slučaj

Dokumentirana konvencija stavlja udaljenu mrežu ili dodijeljene adrese udaljenog klijenta u položaj izvora, a lokalnu mrežu u položaj odredišta, pri čemu se odgovori izražavaju zamjenom položaja adresa. Pravila portova stoje povrh te konvencije i zaslužuju više pažnje od adresa.

Dokumentirani model može dopustiti da pravilo odredišnog porta utječe na obrnutu inicijaciju koja koristi isti izvorni port, što znači da filter nije samo jednosmjerno pravilo zahtjeva s bezopasnim odgovorima. Eksplicitno promislite oba smjera inicijacije i uključite slučaj koji namjeravate odbiti.

Ista dokumentacija ograničava filter na početne veze, pa to nije univerzalna provedba svakog sekundarnog kanala koji otvara pregledana aplikacija. Gdje cjelokupna politika treba takvu pokrivenost, ona pripada zasebnoj granici, a ne ACL-u rastegnutom preko svoje svrhe.

Testirajte tri slučaja prije nego što kažete da je gotovo

Prihvatite namjeravani tok, odbijte uslugu koju politika zabranjuje i uvježbajte slučaj obrnutog smjera o kojem ste razmišljali. Pokrenite ih prema odobrenom planu s istim identitetima i selektorima koje ćete uvesti. Test koji pokazuje samo da dopuštena usluga radi dokazuje tunel, a ne politiku.

Držite pregovaranu pokrivenost i odluku o pristupu kao dva zapisa, jer objašnjenje što VPN dopušta traži oba.