Široký selektor IPsec nie je povolením pre každú službu

Dvaja partneri sa dohodnú chrániť celú podsietu a niekto to číta ako povolenie dosiahnuť každú službu v nej. To je mýtus: selektor hovorí, ktorú prevádzku je tunel ochotný prenášať, a nehovorí nič o tom, ktoré služby organizácia povoľuje. Dvojica zariadení môže legitímne vyjednať široký rozsah adries, kým prístupová politika v ňom povoľuje dva porty, a obe tvrdenia zostávajú pravdivé súčasne.

Chránené pokrytie nie je oprávnenie

Selektor prevádzky je súčasťou dohody o tuneli. Zužuje alebo potvrdzuje, čo budú partneri medzi sebou šifrovať, a široký selektor je často najjednoduchšia vec na prevádzku, keď obe strany majú veľa tokov. Filter služieb je iná kontrola v inom bode cesty a rozhoduje, čo sa po dešifrovaní paketu skutočne smie použiť. Odstránenie filtra, aby jeden test prešiel, mení rozhodnutie politiky na nehodu.

Držte oba záznamy oddelene v návrhovom dokumente, pretože čitateľ, ktorý vidí iba selektor, odvodí oprávnenie, ktoré nikdy nebolo udelené. Dva riadky v zázname zmien tomu zabránia a zaberú menej času než spor, ktorý nasleduje.

Opíšte jeden tok z oboch koncov

Zapíšte iniciátora, respondéra, zdroj a cieľ tak, ako sú uvedené, protokol a oba porty. Potom obráťte každú z týchto značiek pre druhý koncový bod, pretože dočasný zdrojový port klienta sa stane cieľovým portom odpovede a vzdialená sieť sa stane lokálnou. Konfigurácia skopírovaná z jednej strany na druhú bez tohto obrátenia je dôvod, prečo filtre nakoniec povoľujú presne nesprávny smer. Zapíšte tabuľku raz a postavte z nej oba filtre.

Dohodnite model výberu skôr, než čokoľvek skopírujete, pretože návrh založený na politike a návrh založený na trasách vyjadrujú ten istý zámer rôznymi objektmi. Zapíšte názov modelu vedľa toku, inak ďalší inžinier strávi popoludnie zlaďovaním objektov, ktoré nikdy neboli porovnateľné.

Nájdite filter, ktorý sa skutočne uplatňuje

Na ASA je VPN filter ACL pripojená k skupinovej politike a aplikovaná na prevádzku po dešifrovaní a pred šifrovaním. Dokumentácia Cisco k skupinovej politike opisuje aj dedenie vrátane hodnoty na úrovni používateľa, ktorá nahrádza hodnotu skupinovej politiky. ACL, ktorú ste upravili, teda nemusí byť tá ACL, ktorá riadi reláciu pred vami. To isté platí pre používateľský objekt, ktorý môže prepísať skupinu bez zanechania veľa viditeľných dôkazov.

Skúmajte efektívnu reláciu, nie objekt, o ktorom si pamätáte, že ste ho zmenili, a poznamenajte, ktorý objekt politiky ju poskytuje. Ten jediný krok rieši prekvapivo veľa hlásení typu „filter je správny, ale nefunguje“.

Smer, porty a opačný prípad

Dokumentovaná konvencia umiestňuje vzdialenú sieť alebo priradené adresy vzdialeného klienta do pozície zdroja a lokálnu sieť do pozície cieľa, pričom odpovede sa vyjadrujú zámenou pozícií adries. Pravidlá portov stoja na tejto konvencii a zaslúžia si viac starostlivosti než adresy.

Dokumentovaný model môže dovoliť pravidlu cieľového portu ovplyvniť opačnú iniciáciu, ktorá používa ten istý zdrojový port, čo znamená, že filter nie je len jednosmerné pravidlo požiadavky s neškodnými odpoveďami. Explicitne premyslite oba smery iniciácie a zahrňte prípad, ktorý chcete zamietnuť.

Tá istá dokumentácia obmedzuje filter na počiatočné spojenia, takže to nie je univerzálne presadzovanie každého sekundárneho kanála, ktorý inšpektovaná aplikácia otvorí. Tam, kde celá politika potrebuje toto pokrytie, patrí na samostatnú hranicu, nie do ACL naťahovanej za jej účelom.

Otestujte tri prípady, kým to vyhlásite za hotové

Prijmite zamýšľaný tok, odmietnite službu, ktorú politika zakazuje, a precvičte prípad opačného smeru, o ktorom ste uvažovali. Spustite ich podľa schváleného plánu s rovnakými identitami a selektormi, ktoré nasadíte. Test, ktorý ukazuje iba to, že povolená služba funguje, dokazuje tunel, nie politiku.

Držte vyjednané pokrytie a rozhodnutie o prístupe ako dva záznamy, pretože vysvetlenie, čo VPN povoľuje, vyžaduje oba.