Политика безопасности и карта интерфейсов (файл /etc/ifaliases.cf)
Политика безопасности и карта интерфейсов (файл /etc/ifaliases.cf)
В явном виде политика безопасности (LSP, local security policy) может быть назначена только на те сетевые интерфейсы, которые описаны в файле /etc/ifaliases.cf.
В файле /etc/ifaliases.cf отражено соответствие имени интерфейса в нотации Cisco и имени интерфейса в нотации Linux. Данный файл также называют картой интерфейсов.
| Внимание! | При ручном изменении файла /etc/ifaliases.cf нужно обязательно пересчитать хеш сумму данного файла при помощи команды: integr_mgr calc -f /etc/ifaliases.cf, в противном случае не запустится служба vpngate. |
Соответствие описывается посредством структуры "interface" с двумя обязательными полями name и pattern, где:
- name - имя интерфейса в нотации Cisco, которое задается в LSP (в атрибуте LogicalName структуры NetworkInterface) и в консоли Cisco-like (список допустимых имен интерфейсов можно посмотреть в консоли Cisco-like при помощи команды «interface ?» в режиме конфигурирования);
- pattern - шаблон для имени интерфейса в нотации Linux.
| Внимание! | При управлении Продуктом через Cisco-like консоль настоятельно не рекомендуется указывать неявные значения для pattern, например eth*. Данное правило не распространяется на интерфейс default. Если pettern задан неявно, то не будут работать функции конфигурирования сетевого интерфейса. |
Файл /etc/ifaliases.cf обязательно должен содержать следующую строку (ее порядковое расположение относительно других строк неважно):
interface (name="default" pattern="*")
Пример /etc/ifaliases.cf:
interface (name="GigabitEthernet0/0" pattern="eth0")
interface (name="GigabitEthernet0/1" pattern="eth1")
interface (name="GigabitEthernet0/2" pattern="eth2")
interface (name="default" pattern="*")
При задании политики безопасности как посредством консоли Cisco-like, так и при помощи LSP, используется имя сетевого интерфейса в нотации Cisco из файла /etc/ifaliases.cf.
Пример для консоли Cisco-like:
sterragate#show running-config
...
interface GigabitEthernet0/0
ip address 172.16.100.2 255.255.255.0
ip access-group FW_INPUT_WAN in
crypto map VPN
ip inspect INSPECT out
...
Пример для LSP:
root@sterragate:~# lsp_mgr show
...
NetworkInterface (
LogicalName = "GigabitEthernet0/0"
InputFilter = FilterChain:FW_INPUT_WAN
OutputFilter = InspectChain:INSPECT
IPsecPolicy = IPsecPolicy:VPN
)
...