อินเทอร์เฟซ WAN เดียวใช้ทั้ง VPN ระหว่างสาขาและรีโมต VPN ได้หรือไม่

ที่อยู่สาธารณะหนึ่งรายการสามารถให้บริการทั้งอุโมงค์สาขาและพูลผู้ใช้ที่เคลื่อนย้ายได้ในเวลาเดียวกัน แต่ไม่สามารถให้บริการกฎการรับเข้าที่ใช้ร่วมกันเพียงกฎเดียว เพียร์ของสาขาและผู้ใช้ที่เคลื่อนย้ายนั้นแตกต่างกัน ในเรื่องของตัวตนที่อ้างสิทธิ์ วิธีตรวจสอบหลักฐานนั้น แอดเดรสที่ได้รับ และคำนำหน้าที่ได้รับอนุญาตให้ตอบกลับ เมื่อใดที่มองที่อยู่ภายนอกเป็นรายละเอียดของการขนส่งและไม่ใช่ตัวตน การออกแบบก็จะง่ายขึ้นมาก

การทดสอบสามัญสำรองอย่างรวดเร็ว: ลองเขียนบันทึกการรับเข้าทั้งสองรายการก่อนแตะเราเตอร์ ถ้าเงื่อนไขการจับคู่เพียงข้อเดียวต้องครอบคลุมทั้งสอง แปลวนโยบายกำกวมอยู่แล้ว และอาการแรกจะดูเหมือนความผิดพลาดของการกำหนดเส้นทางหรือไฟร์วอลล์ ทั้งที่จริงคือความผิดพลาดของตัวตน

บันทึกสองรายการก่อนการกำหนดค่าใด ๆ

บันทึกของสาขาสั้นและมั่นคง ระบุแอดเดรสเพียร์หรือชื่อใบรับรอง คีย์ที่แชร์ไว้ล่วงหน้าหรือจุดเชื่อถือของใบรับรอง ซับเน็ตที่ป้องกันทั้งสองฝั่ง อินเทอร์เฟซอุโมงค์ และเส้นทางคงที่ที่ส่งทราฟฟิกไปยังสาขาเข้าอุโมงค์นั้น ทุกฟิลด์เกี่ยวกับเพียร์ที่รู้จักหนึ่งรายและชุดคำนำหน้าที่แน่นอน

บันทึกของผู้ใช้ที่เคลื่อนย้ายกว้างกว่าและเป็นส่วนตัวมากกว่า ระบุโปรโตคอลและพอร์ตของไคลเอนต์ วิธีที่ผู้ใช้หรืออุปกรณ์ตรวจสอบสิทธิ์ พูลแอดเดรสที่แจกเมื่อเชื่อมต่อ ทรัพยากรที่พูลนั้นเข้าถึงได้ คำนำหน้าของอุโมงค์แบบแยก เซิร์ฟเวอร์ DNS ที่ดันไปยังไคลเอนต์ และปัจจัยที่สองใด ๆ ทุกฟิลด์ตอบคำถามเกี่ยวกับจำนวนผู้ใช้ที่ไม่ทราบแน่ชัด ไม่ใช่เกี่ยวกับเกตเวย์เดียว

ความต่างของระดับรายละเอียดนี้คือเหตุผลทั้งหมดที่สองบทบาทแยกออกจากกัน โปรไฟล์สาขาสามารถเชื่อถือคีย์เดียวได้อย่างปลอดภัยเพราะคีย์เป็นของอุปกรณ์หนึ่งที่หนึ่งสถานที่ ส่วนโปรไฟล์ที่เคลื่อนย้ายซึ่งเชื่อถือคีย์กลุ่มเดียวสำหรับทุกคนนั้นทำให้ความรับผิดชอบรายบุคคลพังทลาย และมักถูกค้นพบภายหลัง ระหว่างการทบทวนเหตุการณ์ ไม่ใช่ระหว่างการนำไปใช้

จุดที่การจับคู่เพียร์และการตรวจสอบสิทธิ์แยกจากกัน

บน IOS XE โปรไฟล์ IKEv2 พาพารามิเตอร์ที่เจรจาไม่ได้และเงื่อนไขที่ใช้เลือกเพียร์ นั่นหมายความว่าฝั่งสาขาและฝั่งที่เคลื่อนย้ายต่างต้องมีโปรไฟล์ของตัวเอง แม้จะสิ้นสุดบนอินเทอร์เฟซเดียวกัน และแม้จะใช้ PKI เชิงรหัสเดียวกันร่วมกัน Cisco อธิบายบทบาทของโปรไฟล์ การตรวจสอบสิทธิ์ และการจับคู่ไว้ในคู่มือการกำหนดค่า IKEv2 สำหรับ IOS XE 17

โปรไฟล์สาขามักจับคู่กับตัวตนที่แคบ คือแอดเดรสระยะไกล FQDN หรือชื่อเรื่องของใบรับรอง match identity remote address 198.51.100.10 255.255.255.255 ทำให้เพียร์หนึ่งรายถูกตรึงไว้ และ authentication remote pre-share ที่มีคีย์เก็บไว้ต่อสถานที่ก็เพียงพอ รักษาการจับคู่ให้เจาะจงเท่าที่บัญชีเพียร์อนุญาต เพราะไวลด์การ์ดที่ทับซ้อนในลำดับการเลือกที่สูงกว่าอาจดึงทราฟฟิกของสาขาเข้าสู่โปรไฟล์ผิด

โปรไฟล์ที่เคลื่อนย้ายตรึงแอดเดรสไม่ได้ จึงจับคู่กับกลุ่ม key-id หรือฟิลด์ของใบรับรอง แล้วส่งการตรวจสอบผู้ใช้จริงให้ AAA หรือนโยบายการอนุญาตที่ผูกกับโปรไฟล์ การแยกนี้สำคัญ เพราะการตรวจสอบสิทธิ์เพียร์ตอบว่าไคลเอนต์ได้รับอนุญาตให้สร้างอุโมงค์หรือไม่ ส่วนการอนุญาตรายผู้ใช้ตอบว่าได้พูลใดและทรัพยากรใด การใช้คีย์ของสาขาเป็นการเข้าสู่ระบบสากลนั้นทิ้งคำตอบที่สองไป

การส่งต่อและการแปลงที่อยู่ก็ต้องการการแยกแบบเดียวกัน

การรับเข้าและการเข้าถึงเป็นคนละปัญหา การแลกเปลี่ยน IKE และ IPsec ที่สำเร็จพิสูจน์ว่าสองฝ่ายตกลงเรื่องคีย์ได้ แต่ไม่ได้สร้างเส้นทางไปยังพูลที่ไคลเอนต์ได้รับ ดังนั้นพูลของการเข้าถึงระยะไกลจึงต้องมีเส้นทางขากลับ คือเส้นทางคงที่ที่ชี้ไปยังอินเทอร์เฟซอุโมงค์ หรือโปรโตคอลกำหนดเส้นทางที่ฉีดสรุปของพูลเข้าไป คำนำหน้าของสาขามักมาทางกระบวนการกำหนดเส้นทางเดียวกับที่ให้บริการส่วนที่เหลือของสถานที่

การแปลงที่อยู่คือจุดที่สองบทบาทชนกันบ่อยที่สุด ทราฟฟิกระหว่างสถานที่ซึ่งต้องคงแอดเดรสส่วนตัวไว้ต้องการข้อยกเว้น NAT ที่จำกัดเฉพาะสองคำนำหน้านั้น ทั้งสองทิศทาง ไคลเอนต์ที่เคลื่อนย้ายมักต้องการข้อยกเว้นสำหรับทราฟฟิกในอุโมงค์ด้วย แต่ทราฟฟิกที่ออกสู่อินเทอร์เน็ตนั้นเลี่ยงอุโมงค์ผ่านอุโมงค์แบบแยก หรือออกที่ศูนย์กลางหลัง NAT การยกเว้นทุกอย่างที่มาจากอุโมงค์คือความผิดพลาดคลาสสิก เพราะมันถอนการแปลงที่อยู่ออกจากทราฟฟิกที่ต้องการจริง ๆ ด้วย

รักษากฎข้อยกเว้นให้แคบเท่ากฎการรับเข้า ถ้าสรุปของพูลและคำนำหน้าของสาขาทับซ้อนกัน เส้นทางขากลับจะกำกวมนานก่อนที่แพ็กเก็ตใดจะถูกทิ้ง และอาการจะปรากฏเป็นสถานที่หนึ่งที่สูญเสียซับเน็ตเป็นครั้งคราว ไม่ใช่ความล้มเหลวของอุโมงค์ที่สะอาด

กรณีทดสอบการยอมรับที่เปิดเผยนโยบายที่ไขว้กัน

สร้างสี่กรณีและเรียกใช้ตามลำดับ โฮสต์ในสาขาเข้าถึงทรัพยากรที่เฉพาะสาขา ไคลเอนต์ที่เคลื่อนย้ายเข้าถึงทรัพยากรเดียวกันผ่านแอดเดรสพูลของตน ไคลเอนต์ที่เคลื่อนย้ายพยายามเข้าคำนำหน้าของสาขาที่ไม่ควรแตะ เพียร์ของสาขาพยายามขอแอดเดรสจากพูลของการเข้าถึงระยะไกล สองกรณีหลังคือกรณีที่จับโปรไฟล์ร่วมกันได้ เพราะมันล้มเหลวอย่างเงียบ ๆ ในการเฝ้าระวังปกติ

จากนั้นยืนยันชั้นข้อมูล ไม่ใช่การกำหนดค่า show crypto ikev2 sa และ show crypto ipsec sa บอกว่าโปรไฟล์ใดและตัวเลือกใดพาแต่ละโฟลว์ไป ส่วน show ip nat translations และตัวนับของอุโมงค์แสดงว่าเส้นทางขากลับและข้อยกเว้นตรงกันจริงหรือไม่ การ tracer หรือการดักจับแพ็กเก็ตบนอินเทอร์เฟซอุโมงค์ปิดวงจร

เขียนตัวตนที่สังเกตได้ แอดเดรสของพูล และนโยบายที่เลือกไว้ข้างผลลัพธ์แต่ละรายการ การรันจะเสร็จเมื่อทุกกรณีแมปกับบันทึกเพียงรายการเดียว และไม่มีกรณีใดต้องใช้ข้อยกเว้นชั่วคราวเพื่อผ่าน