Siteden siteye VPN için ne kaydedilmeli: seçiciler ve kapsam

Bir tünel devreye alındıktan altı ay sonra yeni bir alt ağ politikayla eşleşmeyi bırakır ve ortak sürücüdeki tek belge ofis VPN'i der. Seçici kaydının önlediği arıza tam olarak budur ve somuttur: adres kümesi değişmiş, evrak değişmemiştir. Kaydı doğru yazmak, birkaç adres kümesinden hangisini tanımladığınızı bilmek ve yapılandırdığınızı değil, karşı tarafın gerçekten uyguladığı kümeyi kaydetmek demektir.

Yapılandırılmış olan anlaşılmış değildir

Politika tabanlı bir IPsec tünelinde her taraf trafik seçicileri önerir: alt ilişkilendirme için kaynak ve hedef aralıkları. Yanıt veren taraf bu öneriyi daraltabilir, bu yüzden kurulu ilişkilendirme yapılandırmanın listelediğinden daha azını kapsayabilir. Yapılandırmayı kopyalayan bir kayıt bir niyeti anlatır, mevcut koruma kapsamını değil. İkisi sessizce ayrışır ve tünel durum sayfasında buna işaret eden hiçbir şey yoktur.

Her iki sütunu da gözlemlediğiniz tarihle birlikte tutun. Yapılandırılmış seçici niyet ettiğinizdir; anlaşılmış olan çekirdeğin şu anda uyguladığıdır. Farklılaştıklarında bu fark, şaşırtıcı bir arızayı yönlendirme hatasından çok daha sık açıklar.

Bir ilişkilendirme yapılandırılmış her çifti de temsil etmez. Birkaç seçici bileşimi olan bir tünel birkaç alt ilişkilendirmeyle sonuçlanabilir ve bunlardan yalnızca birini listeleyen bir kayıt eksik bir envanterdir. Özetlemek yerine tek tek sayın.

Yol tabanlı tüneller farklı seçer

Yol tabanlı bir arayüzde tünele neyin gireceğine yönlendirme tablosu karar verir ve seçiciler bilerek geniş olabilir. Bu bir özensizlik değil meşru bir tasarımdır ve kayıt bunu böyle tanımlamalıdır. Yolu, işaret ettiği arayüzü ve hangi hizmetlerin erişilebilir olduğunu sınırlayan güvenlik duvarı politikasını yazın. Koruma kapsamı bilerek geniştir ve daraltmayı hizmet kapsamı yapar.

Politika tabanlı bir şablonu yol tabanlı bir tünele kopyalamak, dağıtımın kullanmadığı bir mekanizmayı anlatan bir belge üretir. Sonraki mühendis orada hiç olmaması gereken seçicileri arar ve tünel yalnızca kötü belgelenmişken yanlış yapılandırılmış olduğu sonucuna varır.

Çeviri aynı tabloya aittir

NAT karşı tarafa farklı bir aralık sunduğunda özgün ve çevrilmiş önekleri birlikte kaydedin. Seçicilerin ve erişim kurallarının hangi aşamada bunlarla eşleştiğini not edin, çünkü sıra uzak tarafın yazdığınız adresi hiç görüp görmeyeceğine karar verir. İki aralıktan yalnızca birini içeren bir tablo hiç tablo olmamasından kötüdür, çünkü eksiksiz görünür.

Bir NAT değişikliğinden sonra çalışan bir tüneli bozan ayrıntı budur: seçici hâlâ özgün önekle eşleşir, karşı taraf artık çevrilmiş olanı alır ve dönüş yolu artık var olmayan bir adrese işaret eder. İkisi eşleşmeyi bıraktığı anda hiçbir şey hata kaydetmez.

Özel DNS aynı yere aittir. İlgili siteden kullanılamayan bir adrese çözülen bir ad, ekli bir destek biletiyle gelen belgeleme hatasıdır ve suç tünele yüklenecektir.

Hizmet gereksinimini ekleyin

Korunan aralık bir izin listesi değildir. Hangi hizmetlere hangi kaynaktan erişilebilmesi gerektiğini ve bunların arkasındaki uygulamanın sahibini yazın. Bu iki alan farklı soruları yanıtlar ve onları karıştırmak, bir güvenlik incelemesinin erişim yerine yönlendirme tartışmasıyla bitmesine yol açar.

Sonra kuralı sürdüren ağ yöneticisini adlandırın. Sahibi olmayan bir seçici envanteri sessizce bayatlar ve bayat olan, tünel gece ikide çöktüğünde yanlış olandan ayırt edilemez. Sahibi, bir değişikliğin bilerek yapıldığını doğrulayabilecek kişidir de.

Kaydı bir test planına dönüştürün

Gerekli her yol için temsili bir kaynak ve hedef makine seçin ve beklenen yolu, hizmeti ve yanıt geçidini not edin. Bu, belgeyi bir açıklama yerine test planına dönüştürür. Etkin ilişkilendirmeyi aşağıdaki komutla okuyun ve yazdığınız anlaşılmış satırla karşılaştırın.

swanctl --list-sas

Beş satırlık bir iskelet genellikle kaydı dürüst tutmaya yeter. Aşağıdaki sürüm kesilmeden bir değişiklik talebine sığar:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Yalnızca ağ geçidine ping atmak kabul testi değildir. Geçiş yolunu hiç çalıştırmaz, bu yüzden yönlendirilen her akış başarısız olurken o geçebilir. Bir taraftaki makineden diğer taraftaki bir hizmete test edin ve yanıtın tünelden geldiğini doğrulayın. Yalnızca ping geçiyorsa kayıt, önlemek için yazıldığı yönlendirme sorununu tam da şimdi bulmuştur. strongSwan'ın yönlendirme belgeleri seçicilerin, yolların ve yönlendirmenin bir Linux eşte nasıl etkileştiğini açıklar.