Ali lahko en vmesnik WAN služi tako VPN med lokacijami kot oddaljenemu dostopu?

En javni naslov lahko hkrati služi tunel podružnice in bazen gibljivih uporabnikov. Ne more pa služiti enemu skupnemu pravilu sprejema. Partner podružnice in gibljivi uporabnik se razlikujeta po tem, kdo trdita da sta, kako se to dokazilo preveri, katere naslove prejmeta in kateri predpone jima smejo odgovarjati. Ko zunanji naslov začnete obravnavati kot podrobnost prevoza in ne kot identiteto, postane zasnova veliko preprostejša.

Hiter preizkus zdrave pameti: poskusite zapisati oba zapisa sprejema, preden se dotaknete usmerjevalnika. Če mora en pogoj ujemanja pokriti oba, je politika že dvoumna, prvi simptom pa bo videti kot okvara usmerjanja ali požarnega zidu, čeprav gre v resnici za okvaro identitete.

Dva zapisa pred vsako konfiguracijo

Zapis podružnice je kratek in stabilen. Navaja naslov partnerja ali ime potrdila, vnaprej deljeni ključ ali točko zaupanja potrdila, zaščitene podomrežja na obeh straneh, vmesnik tunela in statično pot, ki promet proti podružnici pošilja v ta tunel. Vsako polje se nanaša na enega znanega partnerja in fiksno množico predpon.

Zapis za gibljive uporabnike je širši in bolj oseben. Navaja protokol in vrata odjemalca, kako se uporabnik ali naprava preveri, bazen naslovov, dodeljen ob povezavi, vire, ki jih ta bazen lahko doseže, predpone razdeljenega tunela, strežnike DNS, potisnjene k odjemalcu, in morebitni drugi dejavnik. Vsako polje odgovarja na vprašanje o neznanem številu uporabnikov in ne o enem prehodu.

Prav ta razlika v podrobnosti je ves razlog, da se vlogi razideta. Profil podružnice lahko varno zaupa enemu ključu, ker ključ pripada eni napravi na enem mestu. Profil za gibljive uporabnike, ki zaupa enemu skupinskemu ključu za vse, poruši odgovornost na uporabnika, kar se običajno odkrije pozneje, pri pregledu dogodka in ne pri uvajanju.

Kje se razideta ujemanje partnerjev in preverjanje pristnosti

Na IOS XE profil IKEv2 nosi parametre, o katerih se ni mogoče pogajati, in pogoje, po katerih se izbere partner. To pomeni, da stran podružnice in stran gibljivih uporabnikov potrebujeta vsaka svoj profil, tudi ko končata na istem vmesniku in tudi ko si delita isto kriptografsko PKI. Cisco opisuje vloge profila, preverjanja pristnosti in ujemanja v svojem vodniku za konfiguracijo IKEv2 na IOS XE 17.

Profil podružnice se običajno ujema z ozko identiteto: oddaljenim naslovom, FQDN ali subjektom potrdila. Nekaj kot match identity remote address 198.51.100.10 255.255.255.255 pripne enega partnerja, authentication remote pre-share s ključem, shranjenim za vsako mesto, pa zadostuje. Ujemanje naj bo kar se da natančno, kolikor dopušča seznam partnerjev, ker lahko prekrivajoči se nadomestni znak višje v vrstnem redu izbire potegne promet podružnice v napačen profil.

Profil za gibljive uporabnike ne more pripeti naslova, zato se ujema s skupino, key-id ali poljem potrdila, nato pa resnično preverjanje uporabnika preda AAA ali politiki dovoljenj, pritrjeni na profil. Ta ločitev je pomembna: preverjanje partnerja odgovori, ali sme odjemalec zgraditi tunel, dovoljenja na uporabnika pa odgovorijo, kateri bazen in katere vire dobi. Uporaba ključa podružnice kot univerzalne prijave zavrže drugi odgovor.

Posredovanje in prevajanje potrebujeta enako ločitev

Sprejem in dosegljivost sta ločeni težavi. Uspešna izmenjava IKE in IPsec dokaže, da sta si strani edini glede ključev; ne ustvari poti do bazena, ki ga je odjemalec prejel. Zato bazeni oddaljenega dostopa potrebujejo povratno pot: bodisi statično pot na vmesnik tunela bodisi usmerjevalni protokol, ki vstavi povzetek bazena. Predpone podružnice običajno pridejo po istem usmerjevalnem postopku, ki služi preostanku lokacije.

Prevajanje je mesto, kjer se vlogi najpogosteje zaletita. Promet med lokacijami, ki mora obdržati svoje zasebne naslove, potrebuje izjemo od NAT, omejeno na ti dve predponi, v obe smeri. Gibljivi odjemalci običajno potrebujejo izjemo tudi za promet v tunelu, toda njihov promet v internet bodisi obide tunel z razdeljenim tunelom bodisi izstopi v koncentratorju po NAT. Izvzeti vse, kar prihaja iz tunela, je klasična napaka, ker odvzame prevajanje tudi prometu, ki ga resnično potrebuje.

Pravila izjem naj bodo enako ozka kot pravila sprejema. Če se povzetek bazena in predpona podružnice prekrivata, postane povratna pot dvoumna veliko prej, preden se zavrže kateri koli paket, simptom pa se pokaže kot lokacija, ki občasno izgubi podomrežje, in ne kot čista okvara tunela.

Sprejemni primeri, ki razkrijejo prekrižano politiko

Zgradite štiri primere in jih izvedite po vrsti. Gostitelj v podružnici doseže vir samo za podružnico. Gibljivi odjemalec doseže isti vir prek naslova iz svojega bazena. Gibljivi odjemalec poskusi predpono podružnice, ki se je ne bi smel dotakniti. Partner podružnice poskuša dobiti naslov iz bazena oddaljenega dostopa. Zadnja dva primera ujameta skupni profil, ker v običajnem nadzoru tiho odpovesta.

Nato potrdite ravnino podatkov in ne konfiguracije. show crypto ikev2 sa in show crypto ipsec sa povesta, kateri profil in kateri izbirniki so nosili vsak tok, medtem ko show ip nat translations in števci tunela pokažejo, ali sta se povratna pot in izjema res ujemali. Tracer ali zajem paketov na vmesniku tunela sklene zanko.

Zapišite opaženo identiteto, naslov iz bazena in izbrano politiko ob vsakem rezultatu. Krog je končan, ko vsak primer ustreza natanko enemu zapisu in noben primer ne potrebuje začasne izjeme, da bi uspel.