Një përzgjedhës i gjerë IPsec nuk është leje për çdo shërbim

Dy palë bien dakord të mbrojnë një nënrrjet të tërë, dhe dikush e lexon atë marrëveshje si leje për të arritur çdo shërbim brenda saj. Ky është miti: përzgjedhësi thotë se çfarë trafiku tuneli është i gatshëm të mbajë, dhe nuk thotë asgjë për shërbimet që organizata lejon. Një palë pajisje mund të negociojnë ligjërisht një interval të gjerë adresash ndërsa politika e aksesit brenda tij lejon dy porta, dhe të dyja deklaratat mbeten të vërteta në të njëjtën kohë.

Mbulimi i mbrojtur nuk është autorizim

Një përzgjedhës trafiku është pjesë e marrëveshjes së tunelit. Ai ngushton ose konfirmon atë që palët do të kriptojnë mes tyre, dhe një përzgjedhës i gjerë është shpesh gjëja më e thjeshtë për t'u operuar kur të dyja anët kanë shumë rrjedha për të mbajtur. Filtri i shërbimeve është një kontroll tjetër në një pikë tjetër të rrugës, dhe vendos çfarë mund të përdoret në të vërtetë pasi paketa është dekriptuar. Heqja e filtrit për të kaluar një test e kthen një vendim politike në një aksident.

Mbaji të dy regjistrimet veçmas në dokumentin e projektimit, sepse një lexues që sheh vetëm përzgjedhësin do të nxjerrë një autorizim që nuk u dha kurrë. Dy rreshta në një regjistër ndryshimesh e pengojnë këtë, dhe marrin më pak kohë sesa debati që vijon.

Përshkruaj një rrjedhë nga të dy skajet

Shkruaj iniciatorin, përgjigjësin, burimin dhe destinacionin siç janë paraqitur, protokollin dhe të dy portat. Pastaj kthe çdo etiketë prej tyre për skajin tjetër, sepse porta burimore kalimtare e një klienti bëhet porta destinacion e një përgjigjeje dhe rrjeti i largët bëhet ai lokal. Një konfigurim i kopjuar nga njëra anë në tjetrën pa atë kthim është arsyeja pse filtrat përfundojnë duke lejuar pikërisht drejtimin e gabuar. Shkruaje tabelën një herë dhe ndërto të dy filtrat prej saj.

Bini dakord për modelin e përzgjedhjes përpara se të kopjoni çdo gjë, pasi një projekt i bazuar në politikë dhe një projekt i bazuar në rrugë shprehin të njëjtin qëllim përmes objekteve të ndryshme. Shkruaj emrin e modelit pranë rrjedhës, përndryshe inxhinieri tjetër do të kalojë një pasdite duke përputhur objekte që nuk ishin kurrë të krahasueshme.

Gjej filtrin që zbatohet në të vërtetë

Në një ASA, filtri VPN është një ACL e lidhur me një politikë grupi dhe e aplikuar në trafikun pas dekriptimit dhe përpara kriptimit. Dokumentacioni i Cisco për politikën e grupit përshkruan gjithashtu trashëgiminë, duke përfshirë një vlerë në nivel përdoruesi që zëvendëson vlerën e politikës së grupit. Pra, ACL-ja që redaktuat mund të mos jetë ACL-ja që drejton sesionin përpara jush. E njëjta gjë vlen për objektin e përdoruesit, i cili mund të anashkalojë grupin pa lënë shumë prova të dukshme.

Inspekto sesionin efektiv dhe jo objektin që ju kujtohet se e ndryshuat, dhe shëno cili objekt politike e ofron atë. Ai hap i vetëm zgjidh një numër befasues raportesh të tipit „filtri është i saktë, por nuk funksionon“.

Drejtimi, portat dhe rasti i kundërt

Konventa e dokumentuar vendos rrjetin e largët, ose adresat e caktuara të klientit të largët, në pozicionin e burimit dhe rrjetin lokal në pozicionin e destinacionit, me përgjigjet të shprehura duke ndërruar pozicionet e adresave. Rregullat e portave qëndrojnë mbi atë konventë dhe meritojnë më shumë kujdes sesa adresat.

Modeli i dokumentuar mund të lejojë që një rregull porte destinacioni të ndikojë në nisjen e kundërt që përdor të njëjtën portë burimore, që do të thotë se filtri nuk është thjesht një rregull kërkese njëkahëshe me përgjigje të padëmshme. Arsyeto qartë përmes të dy drejtimeve të nisjes, dhe përfshi rastin që synoni të refuzoni.

I njëjti dokumentacion e kufizon filtrin në lidhjet fillestare, pra nuk është zbatim universal i çdo kanali dytësor që hap një aplikacion i inspektuar. Aty ku politika e plotë ka nevojë për atë mbulim, ai i përket një kufiri të veçantë dhe jo një ACL-je të shtrirë përtej qëllimit të saj.

Testo tre raste përpara se ta shpallësh të përfunduar

Prano rrjedhën e synuar, refuzo një shërbim që politika e ndalon, dhe ushtro rastin e drejtimit të kundërt për të cilin arsyetuat. Ekzekutojini sipas një plani të miratuar me të njëjtat identitete dhe përzgjedhës që do të vendosni. Një test që tregon vetëm se shërbimi i lejuar funksionon dëshmon tunelin, jo politikën.

Mbaji mbulimin e negociuar dhe vendimin e aksesit si dy regjistrime, sepse shpjegimi i asaj që lejon një VPN kërkon të dyja.