Keng IPsec selektori har bir xizmatga ruxsat emas

Ikki tengdosh butun quyi tarmoqni himoya qilishga kelishadi, kimdir esa bu kelishuvni uning ichidagi har bir xizmatga yetib borish ruxsati deb o‘qiydi. Bu afsona: selektor tunnel qanday trafikni tashishga tayyorligini aytadi va tashkilot qaysi xizmatlarga ruxsat berishini umuman aytmaydi. Bir juft qurilma keng manzil oralig‘ini qonuniy ravishda kelishib olishi mumkin, ichkaridagi kirish siyosati esa ikki portga ruxsat beradi, va ikkala gap bir vaqtda to‘g‘ri bo‘lib qoladi.

Himoyalangan qamrov — bu vakolat emas

Trafik selektori tunnel kelishuvining bir qismi. U tengdoshlar o‘rtasida nima shifrlanishini toraytiradi yoki tasdiqlaydi, keng selektor esa ikki tomonda ko‘p oqim bo‘lganda ko‘pincha boshqarish uchun eng oddiy narsa. Xizmat filtri yo‘lning boshqa nuqtasidagi boshqa nazorat bo‘lib, paket shifrdan chiqqandan keyin aslida nimadan foydalanish mumkinligini hal qiladi. Bitta test o‘tishi uchun filtrni olib tashlash siyosat qarorini avariyaga aylantiradi.

Loyiha hujjatida ikki yozuvni alohida saqlang, chunki faqat selektorni ko‘rgan o‘quvchi hech qachon berilmagan vakolatni xulosa qiladi. O‘zgarish yozuvidagi ikki satr buni oldini oladi va keyin keladigan bahsdan kamroq vaqt oladi.

Bitta oqimni ikki tomondan tasvirlang

Tashabbuskor, javob beruvchi, manba va manzilni taqdim etilganidek, protokol va ikki portni yozib qo‘ying. So‘ngra boshqa uch uchun bu yorliqlarning har birini teskari aylantiring, chunki mijozning vaqtinchalik manba porti javobning manzil portiga aylanadi va uzoq tarmoq mahalliy bo‘ladi. Shu teskari aylantirishsiz bir tomondan ikkinchisiga ko‘chirilgan konfiguratsiya filtrlarning oxir-oqibat aynan noto‘g‘ri yo‘nalishga ruxsat berishining sababidir. Jadvalni bir marta yozing va undan ikkala filtrni quring.

Biror narsani ko‘chirishdan oldin tanlov modelini kelishib oling, chunki siyosatga asoslangan loyiha va marshrutga asoslangan loyiha bir xil maqsadni turli obyektlar orqali ifodalaydi. Model nomini oqim yoniga yozing, aks holda keyingi muhandis hech qachon qiyoslab bo‘lmaydigan obyektlarni moslashtirishga yarim kun sarflaydi.

Haqiqatan qo‘llanadigan filtrni toping

ASA da VPN filtri guruh siyosatiga bog‘langan va shifr ochilgandan keyingi hamda shifrlashdan oldingi trafikka qo‘llanadigan ACL hisoblanadi. Cisco guruh siyosati hujjati merosni ham tasvirlaydi, jumladan guruh siyosati qiymatini almashtiruvchi foydalanuvchi darajasidagi qiymatni. Shunday qilib, siz tahrirlagan ACL sizning oldingizdagi sessiyani boshqaradigan ACL bo‘lmasligi mumkin. Xuddi shu narsa foydalanuvchi obyektiga ham tegishli, u ko‘p ko‘rinadigan dalil qoldirmasdan guruhni bekor qilishi mumkin.

O‘zgartirganingiz esingizda qolgan obyektni emas, samarali sessiyani tekshiring va uni qaysi siyosat obyekti taqdim etishini qayd eting. Shu bitta qadam „filtr to‘g‘ri, lekin ishlamayapti“ degan hayratlanarli ko‘p xabarlarni hal qiladi.

Yo‘nalish, portlar va teskari holat

Hujjatlashtirilgan odat uzoq tarmoqni yoki tayinlangan uzoq mijoz manzillarini manba o‘rniga, mahalliy tarmoqni esa manzil o‘rniga qo‘yadi, javoblar manzil o‘rinlarini almashtirish orqali ifodalanadi. Port qoidalari shu odat ustida turadi va manzillardan ko‘ra ko‘proq e’tiborga loyiqdir.

Hujjatlashtirilgan model manzil porti qoidasiga xuddi shu manba portidan foydalanadigan teskari boshlashga ta’sir qilishiga yo‘l qo‘yishi mumkin, ya’ni filtr zararsiz javoblar bilan bir tomonlama so‘rov qoidasi xolos emas. Ikkala boshlash yo‘nalishini ham aniq o‘ylab chiqing va rad etmoqchi bo‘lgan holatni ham qo‘shing.

Xuddi shu hujjat filtrni faqat boshlang‘ich ulanishlar bilan cheklaydi, shuning uchun u tekshirilayotgan dastur ochadigan har bir ikkilamchi kanalning universal ijrosi emas. To‘liq siyosatga shunday qamrov kerak bo‘lsa, u o‘z maqsadidan tashqariga cho‘zilgan ACLda emas, alohida chegarada bo‘lishi kerak.

Bajarildi deyishdan oldin uch holatni sinab ko‘ring

Mo‘ljallangan oqimni qabul qiling, siyosat taqiqlagan xizmatdan bosh torting va siz o‘ylagan teskari yo‘nalish holatini mashq qiling. Ularni joylashtirmoqchi bo‘lgan bir xil identifikatsiyalar va selektorlar bilan tasdiqlangan reja bo‘yicha ishga tushiring. Faqat ruxsat etilgan xizmat ishlayotganini ko‘rsatadigan test tunnelni ko‘rsatadi, siyosatni emas.

Kelishilgan qamrovni va kirish qarorini ikki yozuv sifatida saqlang, chunki VPN nimaga ruxsat berishini tushuntirish ikkalasini ham talab qiladi.