Je, kiolesura kimoja cha WAN kinaweza kuhudumia VPN kati ya maeneo na ufikiaji wa mbali?

Anwani moja ya umma inaweza kuhudumia tunnel ya tawi na dimbwi la watumiaji wanaozunguka kwa wakati mmoja. Lakini haiwezi kuhudumia kanuni moja ya pamoja ya kuingia. Mwenza wa tawi na mtumiaji anayezunguka wanatofautiana katika wanaodai kuwa nani, jinsi uthibitisho huo unavyokaguliwa, anwani wanazopokea na viambishi awali vinavyoweza kuwajibu. Mara tu unapouchukulia anwani ya nje kama maelezo ya usafirishaji na si utambulisho, muundo unakuwa rahisi zaidi.

Jaribio la haraka la busara: jaribu kuandika rekodi zote mbili za kuingia kabla ya kugusa kipanga njia. Ikiwa sharti moja la ulinganishaji linapaswa kufunika zote mbili, sera tayari haijaeleweka, na dalili ya kwanza itaonekana kama hitilafu ya uelekezaji au ukuta wa moto wakati kwa kweli ni hitilafu ya utambulisho.

Rekodi mbili kabla ya usanidi wowote

Rekodi ya tawi ni fupi na thabiti. Inaorodhesha anwani ya mwenza au jina la cheti, ufunguo ulioshirikiwa mapema au kituo cha uaminifu cha cheti, subneti zilizolindwa pande zote mbili, kiolesura cha tunnel, na njia tuli inayotuma trafiki kuelekea tawi ndani ya tunnel hiyo. Kila sehemu inahusu mwenza mmoja anayejulikana na seti maalum ya viambishi awali.

Rekodi ya kuzunguka ni pana zaidi na ya kibinafsi zaidi. Inaorodhesha itifaki na bandari ya mteja, jinsi mtumiaji au kifaa kinavyojithibitisha, dimbwi la anwani linalotolewa wakati wa kuunganisha, rasilimali ambazo dimbwi hilo linaweza kufikia, viambishi awali vya tunnel iliyogawanywa, seva za DNS zinazosukumwa kwa mteja, na kipengele chochote cha pili. Kila sehemu inajibu swali kuhusu idadi isiyojulikana ya watumiaji na si kuhusu lango moja.

Tofauti hiyo ya undani ndiyo sababu nzima ya majukumu mawili kutenganishwa. Wasifu wa tawi unaweza kuamini ufunguo mmoja kwa usalama kwa sababu ufunguo ni wa kifaa kimoja mahali pamoja. Wasifu wa kuzunguka unaoamini ufunguo mmoja wa kikundi kwa wote unavunja uwajibikaji kwa kila mtumiaji, na hilo kwa kawaida hugunduliwa baadaye, wakati wa mapitio ya tukio na si wakati wa uenezaji.

Mahali ulinganishaji wa wenzi na uthibitishaji hutenganika

Kwenye IOS XE wasifu wa IKEv2 hubeba vigezo visivyoweza kujadiliwa na masharti yanayotumika kuchagua mwenza. Hiyo inamaanisha upande wa tawi na upande wa kuzunguka kila mmoja unahitaji wasifu wake, hata wanapoishia kwenye kiolesura kimoja na hata wanaposhiriki PKI moja ya kriptografia. Cisco inaelezea majukumu ya wasifu, uthibitishaji na ulinganishaji katika mwongozo wake wa usanidi wa IKEv2 kwa IOS XE 17.

Wasifu wa tawi kwa kawaida hulingana na utambulisho mwembamba: anwani ya mbali, FQDN au somo la cheti. Kitu kama match identity remote address 198.51.100.10 255.255.255.255 hubana mwenza mmoja, na authentication remote pre-share pamoja na ufunguo unaohifadhiwa kwa kila eneo inatosha. Weka ulinganishaji mahususi kadiri orodha ya wenzi inavyoruhusu, kwa sababu wildcard inayopishana juu zaidi katika mpangilio wa uteuzi inaweza kuvuta trafiki ya tawi ndani ya wasifu usio sahihi.

Wasifu wa kuzunguka hauwezi kubana anwani, kwa hiyo hulingana na kikundi, key-id au sehemu ya cheti, kisha unakabidhi ukaguzi halisi wa mtumiaji kwa AAA au kwa sera ya idhini iliyounganishwa na wasifu. Utengano huo ni muhimu: uthibitishaji wa mwenza hujibu ikiwa mteja ameruhusiwa kujenga tunnel, na idhini kwa kila mtumiaji hujibu atapata dimbwi gani na rasilimali gani. Kutumia ufunguo wa tawi kama kuingia kwa jumla hutupa jibu la pili.

Upelekaji na utafsiri vinahitaji utengano huo huo

Kuingia na kufikiwa ni matatizo tofauti. Ubadilishanaji wa IKE na IPsec uliofanikiwa huthibitisha kwamba pande zote zinakubaliana kuhusu funguo; hauundi njia kuelekea dimbwi ambalo mteja alipokea. Kwa hiyo madimbwi ya ufikiaji wa mbali yanahitaji njia ya kurudi: ama njia tuli inayoelekea kiolesura cha tunnel au itifaki ya uelekezaji inayoingiza muhtasari wa dimbwi. Viambishi awali vya tawi kwa kawaida huja kupitia mchakato huo huo wa uelekezaji unaohudumia sehemu nyingine ya eneo.

Utengano wa tafsiri ni mahali ambapo majukumu mawili yanagongana mara nyingi zaidi. Trafiki kati ya maeneo ambayo lazima ihifadhi anwani zake za kibinafsi inahitaji msamaha wa NAT uliowekewa kikomo kwa viambishi awali hivyo viwili, pande zote mbili. Wateja wanaozunguka kwa kawaida wanahitaji msamaha kwa trafiki yao ndani ya tunnel, lakini trafiki yao kuelekea intaneti ama inaikwepa tunnel kupitia tunnel iliyogawanywa au inatoka kwenye kitovu baada ya NAT. Kutoa msamaha kwa kila kitu kinachokuja kutoka tunnel ni kosa la kawaida, kwa sababu pia huondoa utafsiri kutoka kwa trafiki inayouhitaji kwa kweli.

Weka kanuni za msamaha mwembamba kama kanuni za kuingia. Ikiwa muhtasari wa dimbwi na kiambishi awali cha tawi vinapishana, njia ya kurudi inakuwa isiyoeleweka muda mrefu kabla ya pakiti yoyote kutupwa, na dalili inaonekana kama eneo linalopoteza subnet mara kwa mara na si kama hitilafu safi ya tunnel.

Kesi za kukubali zinazofichua sera iliyovukana

Jenga kesi nne na uzifanye kwa mpangilio. Mwenyeji katika tawi anafikia rasilimali ya tawi pekee. Mteja anayezunguka anafikia rasilimali hiyo hiyo kupitia anwani ya dimbwi lake. Mteja anayezunguka anajaribu kiambishi awali cha tawi asichopaswa kugusa. Mwenza wa tawi anajaribu kupata anwani kutoka dimbwi la ufikiaji wa mbali. Mbili za mwisho ndizo zinazokamata wasifu ulioshirikiwa, kwa sababu zinashindwa kimya katika ufuatiliaji wa kawaida.

Kisha thibitisha tabaka la data na si usanidi. show crypto ikev2 sa na show crypto ipsec sa zinaeleza wasifu gani na vichaguzi gani vilibeba kila mtiririko, wakati show ip nat translations na vihesabu vya tunnel vinaonyesha ikiwa njia ya kurudi na msamaha viliendana kwa kweli. Tracer au kunasa pakiti kwenye kiolesura cha tunnel hufunga mzunguko.

Andika utambulisho ulioonekana, anwani ya dimbwi na sera iliyochaguliwa kando ya kila matokeo. Mzunguko unakamilika wakati kila kesi inalingana na rekodi moja hasa, na hakuna kesi inayohitaji msamaha wa muda ili kupita.