Çfarë duhet regjistruar për një VPN site-to-site: përzgjedhësit dhe shtrirja

Gjashtë muaj pasi një tunel u vu në punë, një nënrrjet i ri pushon së përputhuri me politikën dhe dokumenti i vetëm në ndarjen e përbashkët thotë VPN zyre. Ky është dështimi që parandalon regjistri i përzgjedhësve, dhe është i konkretë: një grup adresash ndryshoi ndërsa dokumentacioni jo. Të shkruash regjistrin saktë do të thotë të dish cilin prej disa grupeve të adresave po përshkruan, dhe të regjistrojë atë që pala tjetër vërtet zbaton, jo atë që konfigurove.

E konfiguruara nuk është e negociuar

Në një tunel IPsec të bazuar në politika, secila palë propozon përzgjedhës trafiku: intervalet burim dhe destinacion për shoqatën fëmijë. Pala që përgjigjet ka të drejtë ta ngushtojë atë propozim, prandaj shoqata e instaluar mund të mbulojë më pak sesa liston konfigurimi. Një regjistër që kopjon konfigurimin përshkruan një qëllim, jo shtrirjen aktuale të mbrojtjes. Të dyja ndahen në heshtje, dhe asgjë në faqen e statusit të tunelit nuk e vë në dukje.

Mbaji të dyja kolonat, me datën kur i vëzhgove. Përzgjedhësi i konfiguruar është ajo që synove; ai i negociuar është ajo që bërthama zbaton tani. Kur ndryshojnë, ai ndryshim shpjegon një dështim të papritur shumë më shpesh sesa një gabim rrugëtimi.

Një shoqatë gjithashtu nuk përfaqëson çdo çift të konfiguruar. Një tunel me disa kombinacione përzgjedhësish mund të përfundojë me disa shoqata fëmijë, dhe një regjistër që liston njërën prej tyre është një inventar i pjesshëm. Listoji ato në vend që t'i përmbledhësh.

Tunelet e bazuara në rrugë zgjedhin ndryshe

Me një ndërfaqe të bazuar në rrugë, tabela e rrugëtimit vendos çfarë hyn në tunel dhe përzgjedhësit mund të jenë qëllimisht të gjerë. Ky është një projektim i ligjshëm dhe jo neglizhencë, dhe regjistri duhet ta përshkruajë si të tillë. Shkruaj rrugën, ndërfaqen ku ajo drejton dhe politikën e murit të zjarrit që kufizon cilat shërbime janë të arritshme. Shtrirja e mbrojtjes është e gjerë me qëllim, dhe ngushtimin e bën shtrirja e shërbimeve.

Kopjimi i një shablloni të bazuar në politika mbi një tunel të bazuar në rrugë prodhon një dokument që përshkruan një mekanizëm që vendosja nuk e përdor. Inxhinieri tjetër kërkon më pas përzgjedhës që nuk duhej të kishin qenë kurrë aty, dhe përfundon se tuneli është konfiguruar gabimisht, kur thjesht është dokumentuar keq.

Përkthimi i përket të njëjtës tabelë

Kur NAT i paraqet palës tjetër një interval tjetër, regjistro prefikset origjinale dhe të përkthyera bashkë. Shëno fazën në të cilën përzgjedhësit dhe rregullat e aksesit përputhen me to, sepse rendi vendos nëse pala e largët do ta shohë ndonjëherë adresën që shkruajte. Një tabelë me vetëm njërin prej dy intervaleve është më e keqe se asnjë tabelë, sepse duket e plotë.

Ky është detaji që thyen një tunel që punon pas një ndryshimi të NAT: përzgjedhësi ende përputhet me prefiksin origjinal, pala tjetër tani merr një të përkthyer, dhe rruga e kthimit të saj drejton drejt një adrese që nuk ekziston më. Asgjë nuk regjistron një gabim në momentin kur të dyja pushojnë së përputhuri.

DNS privat i përket të njëjtit vend. Një emër që zgjidhet në një adresë të papërdorshme nga vendi përkatës është gabim dokumentacioni me një biletë mbështetjeje bashkangjitur, dhe faji do t'i hidhet tunelit.

Bashkangjit kërkesën e shërbimit

Një interval i mbrojtur nuk është listë lejesh. Shkruaj cilat shërbime duhet të jenë të arritshme nga cili burim, dhe kush zotëron aplikacionin pas tyre. Këto dy fusha përgjigjen pyetjeve të ndryshme, dhe përzierja e tyre është mënyra se si një rishikim sigurie përfundon duke debatuar për rrugëtimin në vend të aksesit.

Pastaj emërto administratorin e rrjetit që mirëmban rregullin. Një inventar përzgjedhësish pa pronar vjetërohet në heshtje, dhe i vjetëruari nuk dallohet nga i gabuari kur tuneli prishet në orën dy të mëngjesit. Pronari është gjithashtu personi që mund të konfirmojë se një ndryshim ishte i qëllimshëm.

Ktheje regjistrin në një plan testimi

Për çdo shteg të kërkuar, zgjidh një host burim dhe destinacion përfaqësues dhe shëno rrugën, shërbimin dhe portën e përgjigjes të pritura. Kjo e kthen dokumentin në një plan testimi dhe jo në një përshkrim. Lexo shoqatën aktive me komandën më poshtë dhe krahasoje me rreshtin e negociuar që shkruajte.

swanctl --list-sas

Një skelet me pesë rreshta zakonisht mjafton që regjistri të mbetet i ndershëm. Versioni më poshtë futet në një biletë ndryshimi pa u prerë:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Një ping vetëm deri në portë nuk është testi i pranimit. Ai nuk e ushtron kurrë shtegun e tranzitit, prandaj mund të kalojë ndërsa çdo rrjedhë e përcjellë dështon. Testo nga një host në njërën anë te një shërbim në tjetrën dhe konfirmo se përgjigja vjen përmes tunelit. Nëse kalon vetëm ping-u, regjistri sapo gjeti problemin e përcjelljes që duhej të parandalonte. Dokumentacioni i strongSwan për përcjelljen shpjegon si përzgjedhësit, rrugët dhe përcjellja ndërveprojnë në një nyje Linux.