Geniş bir IPsec seçici her hizmete izin değildir

İki eş, tüm bir alt ağı korumayı kabul eder ve biri bu anlaşmayı içindeki her hizmete ulaşma izni olarak okur. Efsane budur: seçici, tünelin hangi trafiği taşımaya istekli olduğunu söyler ve kuruluşun hangi hizmetlere izin verdiği hakkında hiçbir şey söylemez. Bir çift cihaz, içindeki erişim ilkesi iki bağlantı noktasına izin verirken geniş bir adres aralığı üzerinde meşru biçimde anlaşabilir ve her iki ifade aynı anda doğru kalır.

Korunan kapsam yetkilendirme değildir

Trafik seçici tünel anlaşmasının bir parçasıdır. Eşlerin aralarında neyi şifreleyeceğini daraltır veya doğrular ve geniş bir seçici, iki tarafın taşıyacağı çok sayıda akış olduğunda çoğu zaman işletmesi en kolay şeydir. Hizmet filtresi yolun başka bir noktasındaki başka bir denetimdir ve paket çözüldükten sonra gerçekte neyin kullanılabileceğine karar verir. Bir testi geçirmek için filtreyi kaldırmak, bir ilke kararını kazaya dönüştürür.

İki kaydı tasarım belgesinde ayrı tutun, çünkü yalnızca seçiciyi gören bir okuyucu hiç verilmemiş bir yetki çıkarımında bulunur. Bir değişiklik kaydındaki iki satır bunu önler ve ardından gelen tartışmadan daha az zaman alır.

Bir akışı iki uçtan tanımlayın

Başlatıcıyı, yanıtlayıcıyı, kaynağı ve hedefi sunulduğu gibi, protokolü ve iki bağlantı noktasını yazın. Ardından bu etiketlerin her birini diğer uç için ters çevirin, çünkü bir istemcinin geçici kaynak bağlantı noktası bir yanıtın hedef bağlantı noktası olur ve uzak ağ yerel ağ olur. O ters çevirme olmadan bir taraftan diğerine kopyalanan bir yapılandırma, filtrelerin sonunda tam olarak yanlış yöne izin vermesinin nedenidir. Tabloyu bir kez yazın ve iki filtreyi ondan kurun.

Herhangi bir şeyi kopyalamadan önce seçim modeli üzerinde anlaşın, çünkü ilke tabanlı bir tasarım ile rota tabanlı bir tasarım aynı niyeti farklı nesnelerle ifade eder. Model adını akışın yanına yazın, yoksa bir sonraki mühendis hiç karşılaştırılabilir olmamış nesneleri eşleştirmek için bir öğleden sonra harcar.

Gerçekte uygulanan filtreyi bulun

Bir ASA'da VPN filtresi, bir grup ilkesine bağlı ve çözme sonrası ile şifreleme öncesi trafiğe uygulanan bir ACL'dir. Cisco'nun grup ilkesi belgeleri, grup ilkesi değerini geçersiz kılan kullanıcı düzeyinde bir değer de dahil olmak üzere kalıtımı da açıklar. Yani düzenlediğiniz ACL, önünüzdeki oturumu yöneten ACL olmayabilir. Aynısı, çok fazla görünür kanıt bırakmadan grubu geçersiz kılabilen kullanıcı nesnesi için de geçerlidir.

Değiştirdiğinizi hatırladığınız nesne yerine etkin oturumu inceleyin ve onu hangi ilke nesnesinin sağladığını not edin. Bu tek adım, „filtre doğru ama çalışmıyor“ türünden şaşırtıcı sayıda bildirimi çözer.

Yön, bağlantı noktaları ve ters durum

Belgelenen kural, uzak ağı veya atanmış uzak istemci adreslerini kaynak konumuna, yerel ağı ise hedef konumuna yerleştirir; yanıtlar adres konumlarının yer değiştirilmesiyle ifade edilir. Bağlantı noktası kuralları bu kuralın üzerine oturur ve adreslerden daha fazla özen hak eder.

Belgelenen model, bir hedef bağlantı noktası kuralının aynı kaynak bağlantı noktasını kullanan ters başlatmayı etkilemesine izin verebilir, bu da filtrenin zararsız yanıtları olan tek yönlü bir istek kuralı olmadığı anlamına gelir. İki başlatma yönünü de açıkça düşünün ve reddetmeyi düşündüğünüz durumu da ekleyin.

Aynı belge filtreyi ilk bağlantılarla sınırlar, bu nedenle denetlenen bir uygulamanın açtığı her ikincil kanalın evrensel uygulaması değildir. Tam ilkenin bu kapsama ihtiyacı olduğu yerde, amacının ötesine gerilen bir ACL'de değil, ayrı bir sınırda yer alır.

Bitmiş demeden önce üç durumu test edin

Amaçlanan akışı kabul edin, ilkenin yasakladığı bir hizmeti reddedin ve üzerinde düşündüğünüz ters yön durumunu çalışın. Bunları dağıtacağınız aynı kimlikler ve seçicilerle onaylanmış bir plan altında çalıştırın. Yalnızca izin verilen hizmetin çalıştığını gösteren bir test tüneli gösterir, ilkeyi değil.

Görüşülen kapsamı ve erişim kararını iki kayıt olarak tutun, çünkü bir VPN'in nelere izin verdiğini açıklamak ikisini birden gerektirir.