Kichaguzi kipana cha IPsec si ruhusa kwa kila huduma

Pande mbili zinakubali kulinda subneti nzima, na mtu anasoma makubaliano hayo kama ruhusa ya kufikia kila huduma ndani yake. Hiyo ndiyo hadithi potofu: kichaguzi kinasema trafiki ipi ambayo handaki iko tayari kubeba, na hakisemi chochote kuhusu huduma zipi ambazo shirika linaruhusu. Jozi ya vifaa inaweza kujadiliana kihalali anuwai pana ya anwani wakati sera ya ufikiaji ndani yake inaruhusu bandari mbili, na kauli zote mbili zinabaki kweli kwa wakati mmoja.

Ufikiaji uliolindwa si idhini

Kichaguzi cha trafiki ni sehemu ya makubaliano ya handaki. Kinapunguza au kinathibitisha kile pande zitakachosimba kati yao, na kichaguzi kipana mara nyingi ni kitu rahisi zaidi kuendesha wakati pande zote zina mitiririko mingi ya kubeba. Kichujio cha huduma ni udhibiti mwingine mahali pengine kwenye njia, na kinaamua kile kinachoweza kutumika kweli baada ya pakiti kufumbuliwa. Kuondoa kichujio ili jaribio moja lipite hubadilisha uamuzi wa sera kuwa ajali.

Weka kumbukumbu mbili tofauti katika hati ya muundo, kwa sababu msomaji anayeona kichaguzi pekee atakisia idhini ambayo haikutolewa kamwe. Mistari miwili katika kumbukumbu ya mabadiliko huzuia hilo, na huchukua muda mfupi kuliko mjadala unaofuata.

Eleza mtiririko mmoja kutoka pande zote mbili

Andika mwanzilishi, mjibuji, chanzo na lengo jinsi yalivyowasilishwa, itifaki na bandari zote mbili. Kisha geuza kila moja ya lebo hizo kwa upande mwingine, kwa sababu bandari ya chanzo ya muda ya mteja inakuwa bandari ya lengo la jibu na mtandao wa mbali unakuwa wa ndani. Mpangilio unaonakiliwa kutoka upande mmoja kwenda mwingine bila kugeuza huko ndiko kunakofanya vichujio hatimaye kuruhusu mwelekeo mbaya kabisa. Andika jedwali mara moja na ujenge vichujio vyote viwili kutoka humo.

Kubaliana juu ya modeli ya uteuzi kabla ya kunakili chochote, kwa kuwa muundo unaotegemea sera na muundo unaotegemea njia hueleza nia moja kupitia vitu tofauti. Andika jina la modeli kando ya mtiririko, la sivyo mhandisi anayefuata atatumia mchana mzima kulinganisha vitu ambavyo havikuwa vya kulinganishwa kamwe.

Pata kichujio kinachotumika kweli

Kwenye ASA, kichujio cha VPN ni ACL iliyounganishwa na sera ya kikundi na kutumika kwa trafiki baada ya kufumbua na kabla ya kusimba. Nyaraka za Cisco za sera ya kikundi pia zinaeleza urithi, ikiwa ni pamoja na thamani ya ngazi ya mtumiaji inayobadilisha thamani ya sera ya kikundi. Kwa hiyo ACL uliyohariri inaweza isiwe ACL inayosimamia kikao kilicho mbele yako. Ndivyo ilivyo pia kwa kitu cha mtumiaji, kinachoweza kupindua kikundi bila kuacha ushahidi mwingi unaoonekana.

Chunguza kikao kinachofanya kazi badala ya kitu unachokumbuka kuwa ulikibadilisha, na kumbuka ni kitu kipi cha sera kinachokitoa. Hatua hiyo moja hutatua idadi ya kushangaza ya ripoti za aina ya „kichujio ni sahihi lakini hakifanyi kazi“.

Mwelekeo, bandari na kisa cha kinyume

Mkataba ulioandikwa unaweka mtandao wa mbali, au anwani za mteja wa mbali zilizotolewa, katika nafasi ya chanzo na mtandao wa ndani katika nafasi ya lengo, majibu yakielezwa kwa kubadilisha nafasi za anwani. Kanuni za bandari ziko juu ya mkataba huo na zinastahili uangalifu zaidi kuliko anwani.

Modeli iliyoandikwa inaweza kuruhusu kanuni ya bandari ya lengo kuathiri uanzishaji wa kinyume unaotumia bandari hiyo hiyo ya chanzo, ambayo ina maana kichujio si tu kanuni ya ombi la upande mmoja na majibu yasiyodhuru. Fikiri kwa uwazi kupitia mielekeo yote miwili ya uanzishaji, na ujumuishe kisa unachokusudia kukataa.

Nyaraka hizo hizo zinaweka kichujio kwa miunganisho ya awali tu, kwa hiyo si utekelezaji wa jumla wa kila chaneli ya pili ambayo programu inayochunguzwa hufungua. Pale sera kamili inapohitaji ufikiaji huo, ni lazima iwe kwenye mpaka tofauti badala ya katika ACL inayovutwa kupita madhumuni yake.

Jaribu visa vitatu kabla ya kusema imekamilika

Kubali mtiririko uliokusudiwa, kataa huduma ambayo sera inaikataza, na fanya mazoezi ya kisa cha mwelekeo wa kinyume uliofikiria. Vizindue chini ya mpango ulioidhinishwa ukitumia utambulisho na vichaguzi vile vile utakavyoweka. Jaribio linaloonyesha tu kwamba huduma inayoruhusiwa inafanya kazi linaonyesha handaki, si sera.

Weka ufikiaji uliojadiliwa na uamuzi wa ufikiaji kama kumbukumbu mbili, kwa sababu kueleza kile VPN inaruhusu kunahitaji zote mbili.