Može li jedno WAN sučelje posluživati i VPN između lokacija i udaljeni pristup?

Jedna javna adresa može istovremeno posluživati tunel podružnice i skup korisnika u pokretu. Ali ne može posluživati jedno zajedničko pravilo propuštanja. Partner podružnice i korisnik u pokretu nisu isto po tome što tvrde da su, kako se ta tvrdnja provjerava, koje adrese dobivaju i koji im prefiksi smiju odgovarati. Čim vanjsku adresu počnete gledati kao pojedinost prijenosa, a ne kao identitet, rješenje postaje mnogo jednostavnije.

Brza provjera razumnosti: pokušajte napisati oba zapisa propuštanja prije nego što dirate usmjerivač. Ako jedan uvjet uparivanja mora pokriti oboje, politika je već nejasna, a prvi simptom izgledat će kao kvar usmjeravanja ili vatrozida, iako je zapravo kvar identiteta.

Dva zapisa prije ikakve konfiguracije

Zapis podružnice kratak je i postojan. Navodi adresu partnera ili ime certifikata, unaprijed podijeljeni ključ ili trustpoint certifikata, zaštićene podmreže s obje strane, sučelje tunela i statičku rutu koja promet prema podružnici šalje u taj tunel. Svako polje odnosi se na jednog poznatog partnera i čvrsti skup prefiksa.

Zapis za korisnike u pokretu širi je i osobniji. Navodi protokol i port klijenta, kako se korisnik ili uređaj provjerava, skup adresa koji se dodjeljuje pri spajanju, resurse koje taj skup smije dosegnuti, prefikse podijeljenog tunela, DNS poslužitelje koji se guraju klijentu i svaki drugi čimbenik. Svako polje odgovara na pitanje o nepoznatom broju korisnika, a ne o jednom usmjerivaču.

Upravo ta razlika u razini pojedinosti objašnjava zašto se dvije uloge razdvajaju. Profil podružnice može sigurno vjerovati jednom ključu jer ključ pripada jednom uređaju na jednom mjestu. Profil za korisnike u pokretu koji vjeruje jednom grupnom ključu za sve ruši odgovornost po korisniku, a to se obično otkrije poslije, tijekom analize događaja, a ne tijekom uvođenja.

Gdje se razdvajaju uparivanje partnera i provjera identiteta

Na IOS XE IKEv2 profil nosi parametre o kojima se ne može pregovarati i uvjete po kojima se partner bira. To znači da strana podružnice i strana korisnika u pokretu trebaju svaka vlastiti profil, čak i kad završavaju na istom sučelju i čak kad dijele istu kriptografsku PKI. Cisco opisuje uloge profila, provjere identiteta i uparivanja u svom vodiču za konfiguraciju IKEv2 na IOS XE 17.

Profil podružnice obično uparuje uski identitet: udaljenu adresu, FQDN ili subjekt certifikata. Nešto poput match identity remote address 198.51.100.10 255.255.255.255 prikiva jednog partnera, a authentication remote pre-share s ključem koji se čuva po lokaciji dovoljan je. Držite uparivanje što preciznijim koliko dopušta popis partnera, jer preklapajući wildcard viši u redoslijedu odabira može uvući promet podružnice u pogrešan profil.

Profil za korisnike u pokretu ne može prikivati adresu, pa uparuje grupu, key-id ili polje certifikata, a zatim pravu provjeru korisnika predaje AAA ili politici ovlaštenja vezanoj uz profil. To razdvajanje je važno: provjera partnera odgovara smije li klijent graditi tunel, a ovlaštenje po korisniku odgovara koji skup adresa i koje resurse dobiva. Uzeti ključ podružnice kao univerzalnu prijavu znači baciti drugi odgovor.

Prosljeđivanje i prevođenje traže istu podjelu

Propuštanje i dostupnost dva su različita problema. Uspješna razmjena IKE i IPsec dokazuje da su strane suglasne o ključevima; ona ne stvara rutu do skupa adresa koji je klijent dobio. Zato skupovima udaljenog pristupa treba povratni put, bilo statička ruta prema sučelju tunela, bilo protokol usmjeravanja koji ubacuje sažetak skupa. Prefiksi podružnice obično stižu istim postupkom usmjeravanja koji poslužuje ostatak lokacije.

Prevođenje je mjesto gdje se dvije uloge najčešće sudaraju. Promet između lokacija koji mora zadržati svoje privatne adrese treba izuzeće od NAT-a ograničeno na ta dva prefiksa, u obama smjerovima. Klijentima u pokretu obično treba i izuzeće za promet u tunelu, ali njihov promet prema internetu ili obilazi tunel kroz podijeljeni tunel ili izlazi na sabirnici nakon NAT-a. Izuzeće svega što dolazi iz tunela klasična je pogreška jer ukida prevođenje i prometu kojemu ono doista treba.

Držite pravila izuzeća uskima kao i pravila propuštanja. Ako se sažetak skupa adresa i prefiks podružnice preklope, povratni put postaje nejasan mnogo prije nego što se odbaci ijedan paket, a simptom se pokaže kao lokacija koja povremeno izgubi podmrežu, a ne kao čist kvar tunela.

Prijamni slučajevi koji razotkrivaju ukriženu politiku

Sastavite četiri slučaja i provedite ih po redu. Računalo u podružnici dosegne resurs samo za podružnicu. Klijent u pokretu dosegne isti resurs preko adrese iz svog skupa. Klijent u pokretu pokuša prefiks podružnice koji ne smije doticati. Partner podružnice pokuša dobiti adresu iz skupa udaljenog pristupa. Posljednja dva slučaja hvataju zajednički profil jer u redovnom nadzoru padaju tiho.

Zatim potvrdite ravninu podataka, a ne konfiguraciju. show crypto ikev2 sa i show crypto ipsec sa kažu koji su profil i koji selektori nosili svaki tok, a show ip nat translations i brojila tunela pokazuju jesu li se povratni put i izuzeće doista poklopili. Tracer ili snimanje paketa na sučelju tunela zatvara krug.

Zapišite uočeni identitet, adresu iz skupa i odabranu politiku uz svaki rezultat. Prolaz je dovršen kad svaki slučaj odgovara točno jednom zapisu i nijednom slučaju ne treba privremeno izuzeće da bi prošao.