Một bộ chọn IPsec rộng không phải là quyền cho mọi dịch vụ

Hai bên đồng ý bảo vệ toàn bộ một mạng con, và ai đó đọc thỏa thuận đó như quyền truy cập mọi dịch vụ bên trong nó. Đó là lầm tưởng: bộ chọn nói lưu lượng nào đường hầm sẵn sàng mang, và nó không nói gì về những dịch vụ mà tổ chức cho phép. Một cặp thiết bị có thể thương lượng hợp pháp một dải địa chỉ rộng trong khi chính sách truy cập bên trong chỉ cho phép hai cổng, và cả hai phát biểu vẫn đúng cùng lúc.

Phạm vi được bảo vệ không phải là ủy quyền

Bộ chọn lưu lượng là một phần của thỏa thuận đường hầm. Nó thu hẹp hoặc xác nhận điều các bên sẽ mã hóa giữa họ, và một bộ chọn rộng thường là thứ dễ vận hành nhất khi hai bên có nhiều luồng phải mang. Bộ lọc dịch vụ là một kiểm soát khác ở một điểm khác trên đường đi, và nó quyết định cái gì thực sự được dùng sau khi gói tin đã được giải mã. Gỡ bỏ bộ lọc để một bài kiểm tra đi qua biến một quyết định chính sách thành tai nạn.

Hãy giữ hai bản ghi tách biệt trong tài liệu thiết kế, vì người đọc chỉ thấy bộ chọn sẽ suy ra một ủy quyền chưa từng được cấp. Hai dòng trong bản ghi thay đổi ngăn được điều đó, và chúng tốn ít thời gian hơn cuộc tranh luận diễn ra sau đó.

Mô tả một luồng từ cả hai đầu

Ghi lại bên khởi tạo, bên phản hồi, nguồn và đích như được trình bày, giao thức và cả hai cổng. Sau đó đảo ngược từng nhãn đó cho đầu kia, vì cổng nguồn tạm thời của máy khách trở thành cổng đích của một phản hồi và mạng từ xa trở thành mạng cục bộ. Một cấu hình được sao chép từ bên này sang bên kia mà không đảo ngược như vậy chính là cách các bộ lọc cuối cùng lại cho phép đúng sai hướng. Viết bảng một lần và dựng cả hai bộ lọc từ nó.

Thống nhất mô hình lựa chọn trước khi sao chép bất cứ thứ gì, vì một thiết kế dựa trên chính sách và một thiết kế dựa trên tuyến đường diễn đạt cùng một ý định qua các đối tượng khác nhau. Ghi tên mô hình bên cạnh luồng, nếu không kỹ sư tiếp theo sẽ mất một buổi chiều để khớp những đối tượng chưa từng so sánh được.

Tìm bộ lọc thực sự áp dụng

Trên một ASA, bộ lọc VPN là một ACL gắn với chính sách nhóm và được áp dụng cho lưu lượng sau khi giải mã và trước khi mã hóa. Tài liệu chính sách nhóm của Cisco cũng mô tả sự kế thừa, bao gồm một giá trị ở cấp người dùng thay thế giá trị của chính sách nhóm. Vì vậy ACL bạn đã sửa có thể không phải là ACL điều khiển phiên đang ở trước mặt bạn. Điều tương tự cũng đúng với đối tượng người dùng, thứ có thể ghi đè nhóm mà không để lại nhiều bằng chứng nhìn thấy được.

Hãy kiểm tra phiên hiệu lực thay vì đối tượng bạn nhớ là đã thay đổi, và ghi lại đối tượng chính sách nào cung cấp nó. Bước duy nhất đó giải quyết được số lượng đáng ngạc nhiên các báo cáo kiểu „bộ lọc đúng nhưng nó không hoạt động“.

Hướng, cổng và trường hợp ngược

Quy ước được ghi lại đặt mạng từ xa, hoặc các địa chỉ máy khách từ xa được gán, vào vị trí nguồn và mạng cục bộ vào vị trí đích, với các phản hồi được biểu đạt bằng cách hoán đổi vị trí địa chỉ. Các quy tắc cổng nằm trên quy ước đó và đáng được chăm sóc hơn các địa chỉ.

Mô hình được ghi lại có thể để một quy tắc cổng đích ảnh hưởng đến việc khởi tạo ngược dùng chính cổng nguồn đó, nghĩa là bộ lọc không chỉ là một quy tắc yêu cầu một chiều với các phản hồi vô hại. Hãy lý luận rõ ràng qua cả hai hướng khởi tạo, và bao gồm trường hợp bạn định từ chối.

Cùng tài liệu đó giới hạn bộ lọc ở các kết nối ban đầu, nên nó không phải là sự thực thi phổ quát cho mọi kênh thứ cấp mà một ứng dụng được kiểm tra mở ra. Ở đâu chính sách đầy đủ cần phạm vi đó, nó thuộc về một ranh giới riêng chứ không phải một ACL bị kéo quá mục đích.

Kiểm tra ba trường hợp trước khi nói là xong

Chấp nhận luồng dự định, từ chối một dịch vụ mà chính sách cấm, và thực hành trường hợp hướng ngược mà bạn đã lý luận. Chạy chúng theo một kế hoạch đã được phê duyệt với đúng danh tính và bộ chọn mà bạn sẽ triển khai. Một bài kiểm tra chỉ cho thấy dịch vụ được phép hoạt động chứng minh đường hầm, không phải chính sách.

Hãy giữ phạm vi đã thương lượng và quyết định truy cập như hai bản ghi, vì để giải thích một VPN cho phép gì cần cả hai.