Saytlar orasidagi VPN uchun nima qayd etish kerak: selektorlar va qamrov

Tunnel ishga tushganidan olti oy o'tgach, yangi subnet siyosatga mos kelmay qo'yadi va umumiy diskdagi yagona hujjat faqat ofis VPN deb yozadi. Selektorlar yozuvi aynan shunday nosozlikning oldini oladi va u aniq: manzillar to'plami o'zgardi, hujjatlar esa o'zgarmadi. Yozuvni to'g'ri yozish bir necha manzillar to'plamidan qaysi birini tasvirlayotganingizni bilish va siz sozlaganini emas, balki qarshi tomon amalda qo'llaydiganini qayd etish demakdir.

Sozlangan narsa kelishilgan narsa emas

Siyosatga asoslangan IPsec tunnelida har bir tomon trafik selektorlarini taklif qiladi: bola assotsiatsiya uchun manba va manzil oraliqlari. Javob beruvchi tomon bu taklifni toraytirishga haqli, shuning uchun o'rnatilgan assotsiatsiya konfiguratsiyada sanab o'tilganidan kamroqni qamrab olishi mumkin. Konfiguratsiyani ko'chiruvchi yozuv niyatni tasvirlaydi, hozirgi himoya qamrovini emas. Ikkisi jimgina uzoqlashadi va tunnel holati sahifasida bunga ishora qiluvchi hech narsa yo'q.

Ikkala ustunni ham kuzatgan sanangiz bilan saqlang. Sozlangan selektor siz nazarda tutgan narsa; kelishilgani yadro hozir qo'llayotgan narsa. Ular farq qilganda, bu farq kutilmagan nosozlikni marshrutlash xatosidan ko'ra ko'proq tushuntiradi.

Bitta assotsiatsiya har bir sozlangan juftlikni ham ifodalamaydi. Bir necha selektor birikmasiga ega tunnel oxir-oqibat bir necha bola assotsiatsiyaga ega bo'lishi mumkin, ulardan faqat bittasini sanab o'tgan yozuv esa to'liq bo'lmagan ro'yxatdir. Ulami umumlashtirish o'rniga birma-bir sanang.

Marshrutga asoslangan tunnellar boshqacha tanlaydi

Marshrutga asoslangan interfeysda tunnelga nima kirishini marshrutlash jadvali hal qiladi va selektorlar ataylab keng bo'lishi mumkin. Bu beparvolik emas, qonuniy dizayn va yozuv buni shunday tasvirlashi kerak. Marshrutni, u ko'rsatadigan interfeysni va qaysi xizmatlar yetib borishini cheklovchi xavfsizlik devori siyosatini yozing. Himoya qamrovi ataylab keng, toraytirishni esa xizmat qamrovi bajaradi.

Siyosatga asoslangan shablonni marshrutga asoslangan tunnelga ko'chirish joylashtirish ishlatmaydigan mexanizmni tasvirlovchi hujjat yaratadi. Keyingi muhandis u yerda hech qachon bo'lmasligi kerak bo'lgan selektorlarni qidiradi va tunnel noto'g'ri sozlangan deb xulosa qiladi, holbuki u shunchaki yomon hujjatlashtirilgan.

Tarjima xuddi shu jadvalga tegishli

NAT qarshi tomonga boshqa oraliq ko'rsatsa, asl va tarjima qilingan prefikslarni birga qayd eting. Selektorlar va kirish qoidalari qaysi bosqichda ularga mos kelishini belgilang, chunki tartib uzoq tomon siz yozgan manzilni umuman ko'radimi-yo'qmi shuni hal qiladi. Ikki oraliqdan faqat bittasi bo'lgan jadval jadval yo'qligidan yomonroq, chunki u to'liq ko'rinadi.

NAT o'zgarishidan keyin ishlab turgan tunnelni buzadigan tafsilot shu: selektor hanuz asl prefiksga mos keladi, qarshi tomon endi tarjima qilinganini oladi va uning qaytish marshruti endi mavjud bo'lmagan manzilga ishora qiladi. Ikkisi mos kelishdan to'xtagan lahzada hech narsa xatoni qayd etmaydi.

Shaxsiy DNS ham xuddi shu joyga tegishli. Tegishli saytdan foydalanib bo'lmaydigan manzilga hal bo'ladigan nom — qo'llab-quvvatlash chiptasi ilova qilingan hujjat xatosi va ayb tunnelga qo'yiladi.

Xizmat talabini ilova qiling

Himoyalangan oraliq ruxsatlar ro'yxati emas. Qaysi xizmatlar qaysi manbadan yetib borishi kerakligini va ular orqasidagi ilova egasi kimligini yozing. Bu ikki maydon turli savollarga javob beradi va ularni aralashtirish xavfsizlik ko'rigining oxir-oqibat kirish emas, marshrutlash haqida bahslashishiga olib keladi.

So'ng qoidani yurituvchi tarmoq administratorini nomlang. Egasi bo'lmagan selektorlar ro'yxati jimgina eskiradi va eskirganini xatodan ajratib bo'lmaydi, tunnel tungi soat ikkida uzilganda. Egasi, shuningdek, o'zgarish ataylab qilinganini tasdiqlay oladigan odamdir.

Yozuvni sinov rejasiga aylantiring

Har bir talab qilingan yo'l uchun vakillik qiluvchi manba va manzil xostini tanlang va kutilgan marshrut, xizmat va javob shlyuzini qayd eting. Bu hujjatni tavsif emas, sinov rejasiga aylantiradi. Quyidagi buyruq bilan faol assotsiatsiyani o'qib, yozgan kelishilgan qator bilan solishtiring.

swanctl --list-sas

Besh qatorli skelet odatda yozuvni halol saqlash uchun yetarli. Quyidagi variant qisqartirilmasdan o'zgarish chiptasiga sig'adi:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Faqat shlyuzgacha ping — qabul sinovi emas. U hech qachon tranzit yo'lni ishlatmaydi, shuning uchun uzatiladigan har bir oqim muvaffaqiyatsiz bo'lsa ham u o'tishi mumkin. Bir tomondagi xostdan boshqa tomondagi xizmatgacha sinab ko'ring va javob tunneldan kelishini tasdiqlang. Faqat ping o'tsa, yozuv oldini olish uchun yozilgan aynan o'sha uzatish muammosini topdi. strongSwan'ning uzatish haqidagi hujjati Linux peerda selektorlar, marshrutlar va uzatish qanday o'zaro ta'sir qilishini tushuntiradi.