Широки IPsec селектор није дозвола за сваку услугу

Две стране се договарају да заштите целу подмрежу, а неко то чита као дозволу да достигне сваку услугу унутар ње. То је мит: селектор говори који је саобраћај тунел спреман да носи и не говори ништа о томе које услуге организација допушта. Пар уређаја може легитимно да преговара широк распон адреса док приступна политика унутар њега допушта два порта, и обе тврдње остају тачне истовремено.

Заштићена покривеност није овлашћење

Селектор саобраћаја део је договора о тунелу. Сужава или потврђује шта ће стране шифровати између себе, а широки селектор је често најједноставније одржавати када обе стране имају много токова. Филтер услуга је други механизам на другом месту у путу и одлучује шта се заиста сме користити након дешифровања пакета. Уклањање филтера да би један тест прошао претвара одлуку политике у несрећу.

Држите два записа одвојено у пројектном документу, јер читалац који види само селектор закључиће овлашћење које никада није дато. Два реда у запису промене то спречавају и трају краће од расправе која следи.

Опишите један ток са оба краја

Запишите иницијатора, страну која одговара, извор и одредиште како су приказани, протокол и оба порта. Затим обрните сваку од тих ознака за други крај, јер привремени изворни порт клијента постаје одредишни порт одговора, а удаљена мрежа постаје локална. Конфигурација копирана са једне стране на другу без тог обртања разлог је зашто филтери на крају допуштају тачно погрешан смер. Запишите табелу једном и изградите оба филтера из ње.

Договорите модел избора пре него што било шта копирате, јер дизајн заснован на политикама и дизајн заснован на рутама изражавају исту намеру кроз различите објекте. Запишите назив модела уз ток, иначе ће следећи инжењер провести поподне усклађујући објекте који никада нису били упоредиви.

Нађите филтер који се заиста примењује

На ASA је VPN филтер ACL придружен групној политици и примењен на саобраћај након дешифровања и пре шифровања. Cisco документација о групној политици описује и наслеђивање, укључујући вредност на нивоу корисника која замењује вредност групне политике. Дакле, ACL који сте уређивали можда није ACL који управља сесијом пред вама. Исто важи и за кориснички објекат, који може надјачати групу без остављања много видљивих доказа.

Прегледајте делотворну сесију, а не објекат за који се сећате да сте га мењали, и забележите који објекат политике је даје. Тај један корак решава изненађујуће много пријава типа „филтер је тачан, али не ради“.

Смер, портови и обрнути случај

Документована конвенција ставља удаљену мрежу или додељене адресе удаљеног клијента у положај извора, а локалну мрежу у положај одредишта, при чему се одговори изражавају заменом положаја адреса. Правила портова стоје поврх те конвенције и заслужују више пажње од адреса.

Документовани модел може допустити да правило одредишног порта утиче на обрнуту иницијацију која користи исти изворни порт, што значи да филтер није само једносмерно правило захтева са безазленим одговорима. Експлицитно промислите оба смера иницијације и укључите случај који намеравате да одбијете.

Иста документација ограничава филтер на почетне везе, па то није универзална примена сваког секундарног канала који отвара прегледана апликација. Где целокупна политика треба такву покривеност, она припада засебној граници, а не ACL-у растегнутом преко своје сврхе.

Тестирајте три случаја пре него што кажете да је готово

Прихватите намеравани ток, одбијте услугу коју политика забрањује и увежбајте случај обрнутог смера о коме сте размишљали. Покрените их према одобреном плану са истим идентитетима и селекторима које ћете увести. Тест који показује само да дозвољена услуга ради доказује тунел, а не политику.

Држите преговарану покривеност и одлуку о приступу као два записа, јер објашњење шта VPN допушта тражи оба.