Ang malawak na IPsec selector ay hindi pahintulot sa bawat serbisyo

Dalawang peer ang nagkasundo na protektahan ang buong subnet, at may nagbabasa ng kasunduang iyon bilang pahintulot na maabot ang bawat serbisyo sa loob nito. Iyon ang mito: sinasabi ng selector kung aling trapiko ang handang dalhin ng tunnel, at wala itong sinasabi tungkol sa kung aling mga serbisyo ang pinapayagan ng organisasyon. Ang isang pares ng device ay maaaring legal na makipagnegosasyon ng malawak na hanay ng address habang ang patakaran sa access sa loob nito ay pinapayagan ang dalawang port, at nananatiling totoo ang parehong pahayag nang sabay.

Ang protektadong saklaw ay hindi awtorisasyon

Ang traffic selector ay bahagi ng kasunduan sa tunnel. Pinapaliit o pinagtitibay nito ang iko-encrypt ng mga peer sa isa't isa, at ang malawak na selector ay madalas ang pinakasimpleng patakbuhin kapag maraming daloy ang kailangang dalhin ng dalawang panig. Ang filter ng serbisyo ay ibang kontrol sa ibang punto ng landas, at ito ang nagpapasya kung ano ang aktuwal na magagamit matapos ma-decrypt ang packet. Ang pagtanggal ng filter para makapasa ang isang test ay ginagawang aksidente ang isang desisyon sa patakaran.

Panatilihing hiwalay ang dalawang rekord sa dokumento ng disenyo, dahil ang mambabasa na nakikita lamang ang selector ay maghihinuha ng awtorisasyong hindi kailanman ibinigay. Dalawang linya sa rekord ng pagbabago ang pumipigil doon, at kakaunti ang oras na kinakain nito kaysa sa pagtatalong kasunod.

Ilarawan ang isang daloy mula sa dalawang dulo

Isulat ang initiator, ang responder, ang pinagmulan at destinasyon ayon sa inilahad, ang protocol at ang dalawang port. Pagkatapos ay baliktarin ang bawat isa sa mga label na iyon para sa kabilang dulo, dahil ang panandaliang source port ng client ay nagiging destination port ng isang tugon at ang malayong network ay nagiging lokal. Ang isang configuration na kinopya mula sa isang panig patungo sa isa pa nang walang pagbabaliktad na iyon ang dahilan kung bakit nagtatapos ang mga filter sa pagpapahintulot ng eksaktong maling direksyon. Isulat ang talahanayan nang isang beses at itayo ang dalawang filter mula roon.

Magkasundo sa modelo ng pagpili bago kopyahin ang anuman, dahil ang disenyong nakabatay sa patakaran at ang disenyong nakabatay sa ruta ay nagpapahayag ng parehong layunin sa pamamagitan ng magkaibang bagay. Isulat ang pangalan ng modelo sa tabi ng daloy, kung hindi ay gugugol ang susunod na inhinyero ng isang hapon sa pagtutugma ng mga bagay na hindi kailanman maihahambing.

Hanapin ang filter na aktuwal na nalalapat

Sa isang ASA, ang VPN filter ay isang ACL na nakakabit sa patakaran ng grupo at inilalapat sa trapikong pagkatapos ng decryption at bago ang encryption. Inilalarawan din ng dokumentasyon ng patakaran ng grupo ng Cisco ang mana, kabilang ang isang halaga sa antas ng gumagamit na pumapalit sa halaga ng patakaran ng grupo. Kaya ang ACL na iyong inedit ay maaaring hindi ang ACL na namamahala sa sesyon sa harap mo. Ganoon din sa object ng gumagamit, na maaaring mangibabaw sa grupo nang hindi nag-iiwan ng maraming nakikitang ebidensya.

Siyasatin ang epektibong sesyon sa halip na ang object na natatandaan mong binago mo, at itala kung aling object ng patakaran ang nagbibigay nito. Ang nag-iisang hakbang na iyon ay lumulutas ng nakakagulat na dami ng ulat na „tama ang filter pero hindi ito gumagana“.

Direksyon, port at ang kabaligtarang kaso

Inilalagay ng dokumentadong kombensyon ang malayong network, o ang mga nakatalagang address ng malayong client, sa posisyon ng pinagmulan at ang lokal na network sa posisyon ng destinasyon, na ang mga tugon ay ipinapahayag sa pamamagitan ng pagpapalit ng mga posisyon ng address. Ang mga tuntunin sa port ay nakaupo sa ibabaw ng kombensyong iyon at karapat-dapat sa higit na pag-iingat kaysa sa mga address.

Maaaring payagan ng dokumentadong modelo na makaapekto ang isang tuntunin sa destination port sa kabaligtarang pagsisimula na gumagamit ng parehong source port, na nangangahulugang ang filter ay hindi lamang isang isang-daan na tuntunin ng kahilingan na may hindi nakakasamang mga tugon. Isipin nang tahasan ang dalawang direksyon ng pagsisimula, at isama ang kasong balak mong tanggihan.

Nililimitahan ng parehong dokumentasyon ang filter sa mga paunang koneksyon, kaya hindi ito pangkalahatang pagpapatupad ng bawat pangalawang channel na binubuksan ng isang inspeksiyonadong aplikasyon. Kung saan kailangan ng buong patakaran ang saklaw na iyon, kabilang ito sa hiwalay na hangganan sa halip na sa isang ACL na hinihila lampas sa layunin nito.

Subukan ang tatlong kaso bago sabihing tapos na

Tanggapin ang nilalayong daloy, tanggihan ang serbisyong ipinagbabawal ng patakaran, at sanayin ang kaso ng kabaligtarang direksyon na inisip mo. Patakbuhin ang mga ito sa ilalim ng aprubadong plano gamit ang parehong pagkakakilanlan at selector na ilalagay mo. Ang test na nagpapakita lamang na gumagana ang pinahintulutang serbisyo ay nagpapakita ng tunnel, hindi ng patakaran.

Panatilihing dalawang rekord ang napagkasunduang saklaw at ang desisyon sa access, dahil kailangan ang pareho para maipaliwanag kung ano ang pinapayagan ng isang VPN.