Широкий селектор IPsec — це не дозвіл на всі служби

Дві сторони домовляються захищати цілу підмережу, і хтось читає цю угоду як дозвіл дістатися кожної служби всередині неї. Це і є міф: селектор каже, який трафік тунель готовий нести, і нічого не каже про те, які служби дозволяє організація. Пара пристроїв може законно узгодити широкий діапазон адрес, тоді як політика доступу всередині нього дозволяє два порти, і обидва твердження залишаються істинними одночасно.

Захищене покриття — не повноваження

Селектор трафіку є частиною угоди про тунель. Він звужує або підтверджує те, що сторони шифруватимуть між собою, а широкий селектор часто найпростіше експлуатувати, коли обидві сторони мають багато потоків. Фільтр служб — інший механізм в іншій точці шляху, і він вирішує, що насправді можна використовувати після розшифрування пакета. Вилучення фільтра заради проходження одного тесту перетворює рішення політики на випадковість.

Тримайте два записи окремо в проєктному документі, бо читач, який бачить лише селектор, виведе повноваження, якого ніколи не давали. Два рядки в записі про зміну запобігають цьому і займають менше часу, ніж суперечка, що виникає далі.

Опишіть один потік з обох боків

Запишіть ініціатора, відповідача, джерело та призначення в тому вигляді, як їх подано, протокол і обидва порти. Потім переверніть кожну з цих позначок для іншого кінця, бо тимчасовий порт джерела клієнта стає портом призначення відповіді, а віддалена мережа стає локальною. Конфігурація, скопійована з одного боку на інший без цього перевертання, — це і є причина, чому фільтри зрештою дозволяють саме неправильний напрямок. Запишіть таблицю один раз і побудуйте обидва фільтри з неї.

Узгодьте модель вибору, перш ніж щось копіювати, оскільки проєкт на основі політик і проєкт на основі маршрутів виражають той самий намір через різні об'єкти. Запишіть назву моделі поряд із потоком, інакше наступний інженер витратить півдня на зіставлення об'єктів, які ніколи не були порівнюваними.

Знайдіть фільтр, який справді застосовується

На ASA фільтр VPN — це ACL, приєднаний до групової політики і застосований до трафіку після розшифрування та перед шифруванням. Документація Cisco щодо групової політики також описує успадкування, зокрема значення на рівні користувача, яке заміщає значення групової політики. Тож ACL, який ви редагували, може бути не тим ACL, що керує сеансом перед вами. Те саме стосується об'єкта користувача, який може перекрити групу, не залишаючи багато видимих доказів.

Перевіряйте чинний сеанс, а не об'єкт, який ви пам'ятаєте зміненим, і занотуйте, який об'єкт політики його надає. Цей єдиний крок знімає напрочуд багато повідомлень на кшталт «фільтр правильний, але не працює».

Напрямок, порти та зворотний випадок

Задокументована конвенція ставить віддалену мережу або призначені адреси віддаленого клієнта в позицію джерела, а локальну мережу — у позицію призначення, причому відповіді виражаються перестановкою позицій адрес. Правила портів лежать поверх цієї конвенції і заслуговують більшої уважності, ніж адреси.

Задокументована модель може дозволити правилу порту призначення впливати на зворотну ініціацію, що використовує той самий порт джерела, а отже, фільтр — не просто одностороннє правило запиту з нешкідливими відповідями. Явно продумайте обидва напрямки ініціації та включіть випадок, який збираєтеся відхилити.

Та сама документація обмежує фільтр початковими з'єднаннями, тому це не універсальне застосування кожного вторинного каналу, який відкриває перевірюваний застосунок. Там, де повній політиці потрібне таке покриття, воно належить до окремої межі, а не до ACL, розтягнутого за межі свого призначення.

Перевірте три випадки, перш ніж вважати готовим

Прийміть потрібний потік, відмовте службі, яку політика забороняє, і відпрацюйте випадок зворотного напрямку, про який ви міркували. Запустіть їх за затвердженим планом із тими самими ідентичностями й селекторами, які будете розгортати. Тест, який показує лише роботу дозволеної служби, демонструє тунель, а не політику.

Тримайте узгоджене покриття й рішення про доступ як два записи, бо пояснення того, що дозволяє VPN, потребує обох.