ตัวเลือก IPsec แบบกว้างไม่ใช่การอนุญาตทุกบริการ

คู่ค้าสองฝ่ายตกลงจะปกป้องทั้งซับเน็ต และมีคนอ่านข้อตกลงนั้นว่าเป็นสิทธิ์เข้าถึงทุกบริการภายใน นั่นคือความเชื่อผิด ๆ: ตัวเลือกบอกว่าอุโมงค์ยินดีขนส่งทราฟฟิกใด และไม่ได้บอกอะไรเลยเกี่ยวกับบริการที่องค์กรอนุญาต อุปกรณ์หนึ่งคู่สามารถเจรจาช่วงที่อยู่กว้างได้อย่างชอบธรรมขณะที่นโยบายการเข้าถึงภายในอนุญาตเพียงสองพอร์ต และทั้งสองข้อความยังคงเป็นจริงในเวลาเดียวกัน

ความครอบคลุมที่ได้รับการปกป้องไม่ใช่การให้อำนาจ

ตัวเลือกทราฟฟิกเป็นส่วนหนึ่งของข้อตกลงอุโมงค์ มันจำกัดหรือยืนยันสิ่งที่คู่ค้าจะเข้ารหัสระหว่างกัน และตัวเลือกแบบกว้างมักเป็นสิ่งที่ดูแลง่ายที่สุดเมื่อทั้งสองฝ่ายมีหลายโฟลว์ให้ขนส่ง ตัวกรองบริการเป็นกลไกควบคุมอีกตัว ณ จุดอื่นในเส้นทาง และเป็นตัวตัดสินว่าอะไรใช้ได้จริงหลังจากแพ็กเก็ตถูกถอดรหัสแล้ว การถอดตัวกรองออกเพื่อให้การทดสอบหนึ่งผ่านเป็นการเปลี่ยนการตัดสินใจเชิงนโยบายให้กลายเป็นอุบัติเหตุ

เก็บบันทึกทั้งสองแยกกันในเอกสารออกแบบ เพราะผู้อ่านที่เห็นเพียงตัวเลือกจะสรุปอำนาจที่ไม่เคยถูกให้ สองบรรทัดในบันทึกการเปลี่ยนแปลงป้องกันสิ่งนั้น และใช้เวลาน้อยกว่าการโต้แย้งที่ตามมา

อธิบายโฟลว์หนึ่งรายการจากทั้งสองปลาย

เขียนผู้เริ่มต้น ผู้ตอบกลับ แหล่งต้นทางและปลายทางตามที่นำเสนอ โปรโตคอล และพอร์ตทั้งสอง จากนั้นกลับป้ายกำกับเหล่านั้นทุกตัวสำหรับปลายอีกด้าน เพราะพอร์ตต้นทางชั่วคราวของไคลเอนต์กลายเป็นพอร์ตปลายทางของการตอบกลับ และเครือข่ายระยะไกลกลายเป็นเครือข่ายท้องถิ่น การคัดลอกการตั้งค่าจากด้านหนึ่งไปยังอีกด้านโดยไม่กลับป้ายนั้นคือสาเหตุที่ตัวกรองลงเอยด้วยการอนุญาตทิศทางที่ผิดพอดี เขียนตารางครั้งเดียวแล้วสร้างตัวกรองทั้งสองจากตารางนั้น

ตกลงเรื่องแบบจำลองการเลือกก่อนคัดลอกสิ่งใด เพราะการออกแบบที่อ้างอิงนโยบายและการออกแบบที่อ้างอิงเส้นทางแสดงเจตนาเดียวกันผ่านออบเจกต์ต่างกัน เขียนชื่อแบบจำลองไว้ข้างโฟลว์ ไม่เช่นนั้นวิศวกรคนถัดไปจะเสียเวลาช่วงบ่ายไปกับการจับคู่ออบเจกต์ที่ไม่เคยเทียบกันได้

ค้นหาตัวกรองที่ใช้จริง

บน ASA ตัวกรอง VPN คือ ACL ที่ผูกกับนโยบายกลุ่มและนำไปใช้กับทราฟฟิกหลังถอดรหัสและก่อนเข้ารหัส เอกสารนโยบายกลุ่มของ Cisco ยังอธิบายการสืบทอด รวมถึงค่าระดับผู้ใช้ที่แทนที่ค่าของนโยบายกลุ่ม ดังนั้น ACL ที่คุณแก้ไขอาจไม่ใช่ ACL ที่ควบคุมเซสชันตรงหน้าคุณ เช่นเดียวกับออบเจกต์ผู้ใช้ ซึ่งสามารถแทนที่กลุ่มได้โดยไม่ทิ้งหลักฐานที่มองเห็นมากนัก

ตรวจสอบเซสชันที่มีผลจริงแทนออบเจกต์ที่คุณจำได้ว่าแก้ และบันทึกว่าออบเจกต์นโยบายใดเป็นผู้ให้ ขั้นตอนเดียวนี้แก้รายงานจำนวนมากอย่างน่าประหลาดใจในทำนอง „ตัวกรองถูกต้องแต่ไม่ทำงาน“

ทิศทาง พอร์ต และกรณีกลับด้าน

ธรรมเนียมที่บันทึกไว้วางเครือข่ายระยะไกล หรือที่อยู่ไคลเอนต์ระยะไกลที่จัดสรรไว้ ในตำแหน่งต้นทาง และเครือข่ายท้องถิ่นในตำแหน่งปลายทาง โดยแสดงการตอบกลับด้วยการสลับตำแหน่งที่อยู่ กฎพอร์ตวางอยู่บนธรรมเนียมนั้นและควรได้รับการดูแลมากกว่าที่อยู่

แบบจำลองที่บันทึกไว้สามารถทำให้กฎพอร์ตปลายทางส่งผลต่อการเริ่มต้นแบบกลับด้านที่ใช้พอร์ตต้นทางเดียวกัน ซึ่งหมายความว่าตัวกรองไม่ใช่เพียงกฎคำขอทางเดียวที่มีการตอบกลับที่ไม่เป็นอันตราย คิดอย่างชัดเจนผ่านทิศทางการเริ่มต้นทั้งสอง และรวมกรณีที่คุณตั้งใจจะปฏิเสธ

เอกสารเดียวกันจำกัดตัวกรองไว้ที่การเชื่อมต่อเริ่มต้น จึงไม่ใช่การบังคับใช้ทั่วไปกับทุกช่องทางทุติยภูมิที่แอปพลิเคชันที่ถูกตรวจสอบเปิดขึ้น ที่ใดนโยบายทั้งหมดต้องการความครอบคลุมนั้น มันควรอยู่ที่ขอบเขตแยกต่างหาก ไม่ใช่ใน ACL ที่ถูกยืดเกินวัตถุประสงค์

ทดสอบสามกรณีก่อนบอกว่าเสร็จ

ยอมรับโฟลว์ที่ตั้งใจ ปฏิเสธบริการที่นโยบายห้าม และฝึกฝน กรณีทิศทางกลับด้านที่คุณคิดไว้ รันภายใต้แผนที่ได้รับอนุมัติด้วยอัตลักษณ์และตัวเลือกชุดเดียวกับที่คุณจะนำไปใช้ การทดสอบที่แสดงเพียงว่าบริการที่อนุญาตทำงานได้แสดงให้เห็นอุโมงค์ ไม่ใช่นโยบาย

เก็บความครอบคลุมที่เจรจาไว้และการตัดสินใจเรื่องการเข้าถึงเป็นสองบันทึก เพราะการอธิบายว่า VPN อนุญาตอะไรต้องใช้ทั้งสองอย่าง