Bitta WAN interfeys ham saytlar orasidagi, ham masofaviy VPN-ga xizmat qila oladimi?

Bitta ommaviy manzil bir vaqtning o'zida filial tunnelini va aylanib yuruvchi foydalanuvchilar hovuzini xizmat qila oladi. Lekin u bitta umumiy kirish qoidasini xizmat qila olmaydi. Filial hamkori va aylanib yuruvchi foydalanuvchi farq qiladi o'zlarini kim deb e'lon qilishlari, bu dalil qanday tekshirilishi, qanday manzillar olishlari va qaysi prefikslar ularga javob bera olishi bilan. Tashqi manzilni shaxs emas, tashish tafsiloti deb qabul qilsangiz, dizayn ancha soddalashadi.

Tez aql-idrok sinovi: marshrutizatorga tegishdan oldin ikkala kirish yozuvini yozib ko'ring. Agar bitta moslashtirish sharti ikkalasini qamrashi kerak bo'lsa, siyosat allaqachon noaniq, va birinchi alomat marshrutlash yoki xavfsizlik devori nosozligiga o'xshaydi, aslida esa bu shaxs nosozligi.

Har qanday konfiguratsiyadan oldin ikkita yozuv

Filial yozuvi qisqa va barqaror. U hamkorning manzilini yoki sertifikat nomini, oldindan bo'lishilgan kalitni yoki sertifikatning ishonch nuqtasini, ikki tomondagi himoyalangan quyi tarmoqlarni, tunnel interfeysini va filialga qaratilgan trafikni shu tunnelga yuboradigan statik marshrutni sanab o'tadi. Har bir maydon bitta ma'lum hamkor va prefikslarning qat'iy to'plamiga tegishli.

Aylanib yurish yozuvi kengroq va shaxsiyroq. U mijoz protokoli va portini, foydalanuvchi yoki qurilma qanday autentifikatsiya qilishini, ulanishda beriladigan manzil hovuzini, shu hovuz yeta oladigan resurslarni, bo'lingan tunnel prefikslarini, mijozga yuboriladigan DNS serverlarini va har qanday ikkinchi omilni sanab o'tadi. Har bir maydon noma'lum sonli foydalanuvchilar haqidagi savolga javob beradi, bitta shlyuz haqida emas.

Tafsilotlardagi aynan shu farq ikki rolning ajralishining butun sababidir. Filial profili bitta kalitga ishonch bilan tayanishi mumkin, chunki kalit bir joydagi bitta qurilmaga tegishli. Hammaga bitta guruh kalitiga tayanadigan aylanib yurish profili foydalanuvchi bo'yicha javobgarlikni yemiradi, va bu odatda keyinroq, joriy etish paytida emas, hodisani ko'rib chiqishda aniqlanadi.

Hamkorlarni moslashtirish va autentifikatsiya qayerda ajraladi

IOS XE da IKEv2 profili kelishib bo'lmaydigan parametrlarni va hamkorni tanlash uchun ishlatiladigan shartlarni olib yuradi. Bu filial tomoni va aylanib yurish tomoni har biriga o'z profili kerakligini bildiradi, ular bir interfeysda tugasa ham va bitta kriptografik PKI ni bo'lishsa ham. Cisco profil, autentifikatsiya va moslashtirish rollarini o'zining IOS XE 17 uchun IKEv2 konfiguratsiya qo'llanmasida tasvirlaydi.

Filial profili odatda tor shaxsga mos keladi: uzoq manzil, FQDN yoki sertifikat subyekti. match identity remote address 198.51.100.10 255.255.255.255 kabi narsa bitta hamkorni mahkamlaydi, va har bir sayt uchun saqlanadigan kalit bilan authentication remote pre-share yetarli. Moslashtirishni hamkorlar ro'yxati ruxsat berganicha aniq tuting, chunki tanlash tartibida yuqoriroq turgan ustma-ust tushuvchi wildcard filial trafigini noto'g'ri profilga tortishi mumkin.

Aylanib yurish profili manzilni mahkamlay olmaydi, shuning uchun u guruh, key-id yoki sertifikat maydoni bilan mos keladi, so'ng haqiqiy foydalanuvchi tekshiruvini AAA ga yoki profilga bog'langan ruxsat siyosatiga topshiradi. Bu ajratish muhim: hamkor autentifikatsiyasi mijozga tunnel qurishga ruxsat berilganini javob beradi, foydalanuvchi bo'yicha ruxsat esa u qaysi hovuz va qaysi resurslarni olishini javob beradi. Filial kalitini universal kirish sifatida ishlatish ikkinchi javobni tashlab yuboradi.

Uzatish va tarjima ham xuddi shu ajratishni talab qiladi

Kirish va yetib borish alohida muammolar. Muvaffaqiyatli IKE va IPsec almashinuvi tomonlar kalitlar bo'yicha kelishganini isbotlaydi; u mijoz olgan hovuzga marshrut yaratmaydi. Shuning uchun masofaviy kirish hovuzlariga qaytish yo'li kerak: tunnel interfeysiga qaratilgan statik marshrut yoki hovuz xulosasini kiritadigan marshrutlash protokoli. Filial prefikslari odatda saytning qolgan qismiga xizmat qiladigan o'sha marshrutlash jarayoni orqali keladi.

Tarjima ikki rol eng ko'p to'qnashadigan joy. Shaxsiy manzillarini saqlashi kerak bo'lgan saytlar orasidagi trafik shu ikki prefiks bilan cheklangan NAT istisnosiga muhtoj, ikki yo'nalishda ham. Aylanib yuruvchi mijozlarga odatda tunnel ichidagi trafigi uchun ham istisno kerak, lekin ularning internetga qaratilgan trafigi yoki bo'lingan tunnel orqali tunnelni chetlab o'tadi, yoki NAT dan keyin markazda chiqadi. Tunneldan keladigan hamma narsani istisno qilish klassik xato, chunki u haqiqatan kerak bo'lgan trafikdan ham tarjimani tortib oladi.

Istisno qoidalarini kirish qoidalaridek tor tuting. Agar hovuz xulosasi va filial prefiksi ustma-ust tushsa, qaytish yo'li har qanday paket tashlanishidan ancha oldin noaniq bo'ladi, va alomat toza tunnel nosozligi sifatida emas, balki bitta sayt vaqti-vaqti bilan quyi tarmoqni yo'qotishi sifatida ko'rinadi.

Kesishgan siyosatni fosh qiladigan qabul holatlari

To'rtta holat quring va ularni tartib bilan ishga tushiring. Filialdagi xost faqat filialga tegishli resursga yetadi. Aylanib yuruvchi mijoz o'z hovuz manzili orqali o'sha resursga yetadi. Aylanib yuruvchi mijoz tegmasligi kerak bo'lgan filial prefiksini sinab ko'radi. Filial hamkori masofaviy kirish hovuzidan manzil olmoqchi bo'ladi. Oxirgi ikkisi umumiy profilni ushlaydi, chunki oddiy kuzatuvda ular jimgina muvaffaqiyatsizlikka uchraydi.

So'ng konfiguratsiyani emas, ma'lumot tekisligini tasdiqlang. show crypto ikev2 sa va show crypto ipsec sa har bir oqimni qaysi profil va qaysi selektorlar olib o'tganini aytadi, show ip nat translations va tunnel hisoblagichlari esa qaytish yo'li va istisno haqiqatan mos kelganini ko'rsatadi. Tunnel interfeysida tracer yoki paket tutish siklni yopadi.

Har bir natija yoniga kuzatilgan shaxsni, hovuz manzilini va tanlangan siyosatni yozing. Har bir holat aynan bitta yozuvga mos kelganda va hech bir holat o'tish uchun vaqtinchalik istisnoga muhtoj bo'lmaganda yugurish tugaydi.