Cần ghi gì cho VPN site-to-site: bộ chọn và phạm vi

Sáu tháng sau khi một đường hầm được đưa vào vận hành, một subnet mới không còn khớp với chính sách và tài liệu duy nhất trên thư mục chia sẻ chỉ ghi VPN văn phòng. Đó chính là sự cố mà bản ghi bộ chọn ngăn ngừa, và nó cụ thể: một tập địa chỉ đã thay đổi trong khi giấy tờ thì không. Viết bản ghi đúng nghĩa là biết mình đang mô tả tập địa chỉ nào trong số nhiều tập, và ghi lại tập mà bên kia thực sự áp dụng chứ không phải tập bạn đã cấu hình.

Đã cấu hình không phải đã thương lượng

Trong một đường hầm IPsec dựa trên chính sách, mỗi bên đề xuất bộ chọn lưu lượng: dải nguồn và đích cho liên kết con. Bên trả lời được phép thu hẹp đề xuất đó, nên liên kết được cài đặt có thể bao phủ ít hơn những gì cấu hình liệt kê. Một bản ghi sao chép cấu hình mô tả ý định, không phải phạm vi bảo vệ hiện tại. Hai thứ âm thầm tách rời, và không gì trên trang trạng thái đường hầm chỉ ra điều đó.

Giữ cả hai cột, kèm ngày bạn quan sát chúng. Bộ chọn đã cấu hình là điều bạn chủ ý; bộ chọn đã thương lượng là điều nhân hệ điều hành đang áp dụng ngay lúc này. Khi chúng khác nhau, sự khác biệt đó giải thích một sự cố bất ngờ thường xuyên hơn nhiều so với một lỗi định tuyến.

Một liên kết cũng không đại diện cho mọi cặp đã cấu hình. Một đường hầm với vài tổ hợp bộ chọn có thể kết thúc với vài liên kết con, và bản ghi chỉ liệt kê một trong số đó là bản kiểm kê chưa đầy đủ. Hãy liệt kê từng cái thay vì tóm tắt chúng.

Đường hầm dựa trên tuyến chọn khác

Với giao diện dựa trên tuyến, bảng định tuyến quyết định thứ gì đi vào đường hầm và các bộ chọn có thể cố ý rộng. Đó là thiết kế hợp lý chứ không phải cẩu thả, và bản ghi phải mô tả đúng như vậy. Ghi lại tuyến, giao diện mà nó trỏ tới, và chính sách tường lửa giới hạn dịch vụ nào có thể truy cập. Phạm vi bảo vệ rộng có chủ ý, và phạm vi dịch vụ đảm nhiệm việc thu hẹp.

Sao chép một mẫu dựa trên chính sách sang đường hầm dựa trên tuyến tạo ra tài liệu mô tả một cơ chế mà việc triển khai không dùng. Kỹ sư tiếp theo sau đó tìm những bộ chọn lẽ ra không bao giờ có, và kết luận đường hầm bị cấu hình sai trong khi nó chỉ được ghi chép kém.

Việc dịch địa chỉ thuộc cùng bảng

Khi NAT trình bày một dải khác cho bên kia, hãy ghi tiền tố gốc và tiền tố đã dịch cùng nhau. Ghi lại giai đoạn mà bộ chọn và quy tắc truy cập khớp với chúng, vì thứ tự quyết định liệu bên xa có bao giờ nhìn thấy địa chỉ bạn đã ghi. Một bảng chỉ có một trong hai dải còn tệ hơn không có bảng, vì nó trông như đầy đủ.

Đây là chi tiết làm hỏng một đường hầm đang chạy sau khi NAT thay đổi: bộ chọn vẫn khớp tiền tố gốc, bên kia giờ nhận tiền tố đã dịch, và tuyến quay về của nó trỏ tới một địa chỉ không còn tồn tại. Không gì ghi lỗi vào đúng lúc hai bên thôi khớp nhau.

DNS riêng thuộc cùng chỗ đó. Một tên phân giải thành địa chỉ không dùng được từ vị trí liên quan là lỗi tài liệu kèm theo một phiếu hỗ trợ, và đường hầm sẽ bị đổ lỗi.

Đính kèm yêu cầu dịch vụ

Một dải được bảo vệ không phải danh sách quyền. Ghi lại dịch vụ nào phải truy cập được từ nguồn nào, và ai sở hữu ứng dụng phía sau chúng. Hai trường đó trả lời hai câu hỏi khác nhau, và trộn chúng chính là cách một cuộc đánh giá bảo mật kết thúc bằng tranh luận về định tuyến thay vì truy cập.

Sau đó nêu tên quản trị viên mạng người duy trì quy tắc. Một bản kiểm kê bộ chọn không có chủ sẽ âm thầm lỗi thời, và cái lỗi thời không phân biệt được với cái sai khi đường hầm hỏng lúc hai giờ sáng. Chủ sở hữu cũng là người có thể xác nhận rằng một thay đổi là có chủ ý.

Biến bản ghi thành kế hoạch kiểm thử

Với mỗi đường đi bắt buộc, chọn một máy nguồn và một máy đích đại diện rồi ghi lại tuyến, dịch vụ và cổng phản hồi dự kiến. Điều đó biến tài liệu thành kế hoạch kiểm thử chứ không phải mô tả. Đọc lại liên kết đang hoạt động bằng lệnh bên dưới, và so sánh với dòng đã thương lượng mà bạn đã ghi.

swanctl --list-sas

Một khung năm dòng thường đủ để bản ghi giữ được sự trung thực. Phiên bản bên dưới vừa trong một phiếu thay đổi mà không bị cắt:

sites: office <-> dc1
configured selector: 10.10.0.0/16 <-> 10.20.0.0/16
negotiated selector: 10.10.4.0/22 <-> 10.20.0.0/16
translated range: 172.16.4.0/22 -> 10.10.4.0/22
service and owner: erp:443 / finance-netops

Chỉ ping tới cổng không phải bài kiểm thử chấp nhận. Nó không bao giờ đi qua đường trung chuyển, nên nó có thể đạt trong khi mọi luồng được chuyển tiếp đều hỏng. Hãy kiểm thử từ một máy ở một bên tới một dịch vụ ở bên kia và xác nhận phản hồi đến qua đường hầm. Nếu chỉ ping đạt, bản ghi vừa tìm ra đúng vấn đề chuyển tiếp mà nó được viết để ngăn ngừa. Tài liệu strongSwan về chuyển tiếp giải thích cách bộ chọn, tuyến và chuyển tiếp tương tác trên một peer Linux.