Ou IOS SSL VPN: pakket, profiel, gateway en sessie

Jy vind ’n kliëntinstalleerder op die router se flash en maak die gevolgtrekking dat die SSL VPN opgestel is. Dit is een onderdeel uit vier, en die oorblywende drie bepaal of enigiemand kan konekteer. By ou IOS SSL VPN is die stukke afsonderlike objekte: die hoofpunt-kliëntpakket, ’n opsionele kliëntprofiel, die WebVPN-gateway wat TLS termineer, en die konteks plus groepbeleid wat die verifikasie- en sessie-instellings hou. Mis een en die fout lyk van buite dieselfde.

Cisco se IOS SSL VPN-konfigurasievoorbeeld, gebou op IOS 15.3 met AnyConnect 3.1, is juis nuttig omdat dit daardie objekte apart hou. Lees dit as ’n beskrywing van daardie ouer implementering, nie as ’n aanbeveling om daardie weergawes te ontplooi nie.

Eerste, die pakket: wat dit is en wat dit nie is nie

Die hoofpuntpakket voorsien kliëntsagteware vir een platform. Dit is nie die profiel of die ontvanger nie, en ’n lêer wat in flash sit bewys net dat iemand iets opgelaai het. Dit bewys nie dat ’n sessie dit ooit gebruik het nie, dat die platform by die gebruiker se toestel pas nie, of dat die gateway dit hoegenaamd verwys nie.

Bevestig die presiese lêernaam, die platform wat dit teiken en waar die konfigurasie daarna verwys. ’n Windows-pakket sê niks oor telefone nie, en ’n opgelaaide lêer wat geen gateway-objek noem nie, is berging eerder as konfigurasie. ’n Pakket wat by die platform pas maar nooit aan die diens gekoppel word nie, sal aan geen gebruiker gebied word nie. Net so min een wie se lêernaam van die waarde verskil wat die konfigurasie verwag.

Tweede, die profiel: instellings eerder as sagteware

’n Opsionele kliëntprofiel dra instellings wat ’n administrateur afsonderlik voorberei, soos bedienerslyste of kliëntvoorkeure. Om dit met ’n installeerder te verwar is algemeen omdat albei as lêers met soortgelyke name aankom. As die ontplooiing ’n profiel verwag, verander die afwesigheid daarvan wat die kliënt ná verbinding doen eerder as of dit hoegenaamd verbind.

Inventariseer albei artefakte en teken aan watter een die gateway werklik verwys. Daardie enkele reël voorkom ’n klas ondersteuningskaartjies waar twee mense oor verskillende lêers praat.

Derde, die ontvanger en die TLS-identiteit

Die gateway-objek definieer die adres en poort wat die buitewêreld bereik en die sertifikaat wat tydens die handdruk aangebied word. ’n Blaaier wat ’n portaalblad bereik, ’n kliënt wat verifikasie voltooi, en ’n toepassing wat ’n private bediener bereik, is drie afsonderlike waarnemings, en net die eerste is ’n ontvanger-toets. Wanneer die handdruk misluk, maak niks stroomaf nog saak nie, so verifieer die sertifikaatketting en die naam voordat jy enige beleid wysig.

Skryf die verwagte identiteit êrens neer. ’n Hernude of vervangde sertifikaat is die algemeenste rede waarom ’n ontplooiing wat verlede maand gewerk het, hierdie maand ophou werk.

Vierde, die konteks en beleid met sy virtuele sjabloon

Die konteks en groepbeleid bind verifikasie aan sessiegedrag: adrespoel, gesplete roetes, DNS, en watter interne netwerke ’n gebruiker mag bereik. Die gedokumenteerde voorbeeld heg sy konteks aan ’n virtuele sjabloon wat per-sessie koppelvlakgedrag verskaf, en daardie bedienerkant-objekte bestaan onafhanklik van enigiets wat ’n gebruiker aflaai.

Wanneer ’n gebruiker verifieer maar niks bereik nie, lê die fout gewoonlik hier eerder as in die kliënt. Vergelyk die poel, die roetes wat aan die kliënt gegee word en die ACL wat verdere verkeer toelaat, en kontroleer dit teen wat die gebruiker rapporteer eerder as wat die ontwerp bedoel het.

Verifieer in volgorde en stop by die eerste fout

Stap deur die vier komponente in die volgorde waarin ’n verbinding hulle teëkom: ontvanger, verifikasie, beleid, dan kliëntgedrag. Bevestig TLS met die verwagte identiteit, verifieer ’n betroubare rekening, lees die toegewysde adres en roetes uit die sessie, en vergelyk eers daarna die kliënt se platform met die pakket. Om by die eerste fout te stop hou ’n enkele veranderlike in spel, en dit is die verskil tussen ’n herstelling en ’n raaiskoot.

Vir ’n telefoon of enige kliënt buite daardie historiese lessenaarvoorbeeld, verkry die werklike ondersteunde kliënt- en gateway-kontrak eerder as om aan te neem die Windows-werkvloei veralgemeen. Om ’n versoekte protokol te verander sal nie ’n IKEv2-profiel in hierdie SSL VPN-diens omskep nie, en om ’n lessenaarpakket te installeer bewys niks oor mobiele ondersteuning nie.