En bred IPsec-väljare är inte tillstånd till varje tjänst

Två parter enas om att skydda ett helt subnät, och någon läser det avtalet som tillstånd att nå varje tjänst inuti det. Det är myten: väljaren säger vilken trafik tunneln är villig att bära, och den säger ingenting om vilka tjänster organisationen tillåter. Ett par enheter kan lagligt förhandla om ett brett adressområde medan åtkomstpolicyn inuti det tillåter två portar, och båda påståendena förblir sanna samtidigt.

Skyddad täckning är inte auktorisation

En trafikväljare är en del av tunnelavtalet. Den begränsar eller bekräftar vad parterna ska kryptera mellan sig, och en bred väljare är ofta det enklaste att driva när båda sidorna har många flöden att bära. Tjänstefiltret är en annan kontroll på en annan punkt i vägen, och det avgör vad som faktiskt får användas efter att paketet har dekrypterats. Att ta bort filtret för att få ett test att passera förvandlar ett policybeslut till en olycka.

Håll de två posterna åtskilda i designdokumentet, eftersom en läsare som bara ser väljaren kommer att sluta sig till en auktorisation som aldrig gavs. Två rader i en ändringspost förhindrar det, och de tar kortare tid än diskussionen som följer.

Beskriv ett flöde från båda ändar

Skriv ned initiativtagaren, svararen, källan och målet så som de presenteras, protokollet och båda portarna. Vänd sedan var och en av dessa etiketter för den andra ändpunkten, eftersom en klients tillfälliga källport blir målporten i ett svar och det avlägsna nätet blir det lokala. En konfiguration som kopieras från ena sidan till den andra utan den vändningen är hur filter till slut tillåter exakt fel riktning. Skriv tabellen en gång och bygg båda filtren från den.

Enas om urvalsmodellen innan du kopierar något, eftersom en policybaserad design och en routbaserad design uttrycker samma avsikt genom olika objekt. Skriv modellnamnet bredvid flödet, annars kommer nästa ingenjör att tillbringa en eftermiddag med att matcha objekt som aldrig var jämförbara.

Hitta filtret som faktiskt gäller

På en ASA är VPN-filtret en ACL som är kopplad till en grupprincip och tillämpas på trafik efter dekryptering och före kryptering. Ciscos dokumentation för grupprinciper beskriver också arv, inklusive ett värde på användarnivå som ersätter grupprincipens värde. Så ACL:n du redigerade är kanske inte den ACL som styr sessionen framför dig. Detsamma gäller användarobjektet, som kan åsidosätta gruppen utan att lämna mycket synliga bevis.

Undersök den effektiva sessionen i stället för objektet du minns att du ändrade, och notera vilket policyobjekt som tillhandahåller den. Det enda steget löser ett förvånansvärt antal rapporter av typen „filtret är rätt men det fungerar inte“.

Riktning, portar och det omvända fallet

Den dokumenterade konventionen placerar det avlägsna nätet, eller de tilldelade avlägsna klientadresserna, i källpositionen och det lokala nätet i målpositionen, med svar uttryckta genom att byta adresspositionerna. Portregler ligger ovanpå den konventionen och förtjänar mer omsorg än adresserna.

Den dokumenterade modellen kan låta en målportregel påverka omvänd initiering som använder samma källport, vilket innebär att filtret inte bara är en enkelriktad förfrågningsregel med ofarliga svar. Resonera explicit igenom båda initieringsriktningarna och inkludera fallet du tänker neka.

Samma dokumentation begränsar filtret till inledande anslutningar, så det är inte universell tillämpning av varje sekundär kanal som en inspekterad applikation öppnar. Där den fullständiga policyn behöver den täckningen hör den hemma vid en separat gräns i stället för i en ACL som sträcks förbi sitt syfte.

Testa tre fall innan du kallar det klart

Acceptera det avsedda flödet, neka en tjänst som policyn förbjuder och öva fallet med omvänd riktning som du resonerade om. Kör dem enligt en godkänd plan med samma identiteter och väljare som du ska driftsätta. Ett test som bara visar att den tillåtna tjänsten fungerar visar tunneln, inte policyn.

Håll den förhandlade täckningen och åtkomstbeslutet som två poster, eftersom att förklara vad en VPN tillåter kräver båda.