SSL VPN في IOS القديم: الحزمة والملف التعريفي والبوابة والجلسة

تجد مثبّت عميل على فلاش الموجّه وتستنتج أن SSL VPN مُهيّأ. هذا مكوّن واحد من أربعة، والثلاثة الباقية تحدّد ما إذا كان بإمكان أي شخص الاتصال. في SSL VPN القديم على IOS تكون الأجزاء كائنات منفصلة: حزمة عميل الرأس، وملف تعريف عميل اختياري، وبوابة WebVPN التي تُنهي TLS، والسياق مع سياسة المجموعة التي تحتفظ بإعدادات المصادقة والجلسة. إن أغفلت واحدًا منها بدا الفشل من الخارج على الشكل نفسه.

مثال تهيئة SSL VPN في IOS من Cisco، المبني على IOS 15.3 مع AnyConnect 3.1، مفيد تحديدًا لأنه يُبقي تلك الكائنات منفصلة. اقرأه كوصف لذلك التنفيذ الأقدم، لا كتوصية بنشر تلك الإصدارات.

أولًا، الحزمة: ما هي وما ليست عليه

حزمة الرأس توفّر برنامج العميل لمنصة واحدة. وهي ليست الملف التعريفي ولا المستمع، ووجود ملف على الفلاش لا يثبت إلا أن أحدًا رفع شيئًا ما. ولا يثبت أن جلسة استخدمته يومًا، ولا أن المنصة تطابق جهاز المستخدم، ولا أن البوابة تشير إليه أصلًا.

تحقّق من اسم الملف الدقيق، والمنصة التي يستهدفها، والمكان الذي تشير إليه التهيئة. حزمة Windows لا تخبرك شيئًا عن الهواتف، والملف المرفوع الذي لا يذكره أي كائن بوابة هو تخزين لا تهيئة. الحزمة التي تطابق المنصة لكنها لا تُربط بالخدمة أبدًا لن تُعرض على أي مستخدم. وكذلك الحزمة التي يختلف اسم ملفها عن القيمة التي تتوقعها التهيئة.

ثانيًا، الملف التعريفي: إعدادات لا برمجيات

ملف تعريف العميل الاختياري يحمل إعدادات يعدّها المسؤول بشكل منفصل، مثل قوائم الخوادم أو تفضيلات العميل. الخلط بينه وبين المثبّت شائع لأن كليهما يصل كملف باسم مشابه. وإذا كان النشر يتوقع ملف تعريف، فإن غيابه يغيّر ما يفعله العميل بعد الاتصال لا ما إذا كان يتصل أصلًا.

اجرد القطعتين وسجّل أيّهما تشير إليه البوابة فعليًا. ذلك السطر الواحد يمنع صنفًا من تذاكر الدعم حيث يتحدث شخصان عن ملفين مختلفين.

ثالثًا، المستمع وهوية TLS

كائن البوابة يحدّد العنوان والمنفذ اللذين يصل إليهما العالم الخارجي والشهادة التي تُقدَّم أثناء المصافحة. وصول متصفح إلى صفحة بوابة، وإتمام عميل للمصادقة، ووصول تطبيق إلى خادم خاص، ثلاث ملاحظات منفصلة، وأولها فقط اختبار للمستمع. وعندما تفشل المصافحة لا يهم شيء لاحق بعد، لذا تحقّق من سلسلة الشهادات والاسم قبل تعديل أي سياسة.

اكتب الهوية المتوقعة في مكان ما. الشهادة المجدَّدة أو المستبدلة هي السبب الأكثر شيوعًا لتوقّف نشر كان يعمل الشهر الماضي عن العمل هذا الشهر.

رابعًا، السياق والسياسة مع قالبها الافتراضي

يربط السياق وسياسة المجموعة المصادقة بسلوك الجلسة: تجمع العناوين، والمسارات المنقسمة، وDNS، والشبكات الداخلية التي يجوز للمستخدم الوصول إليها. المثال الموثّق يربط سياقه بقالب افتراضي يوفّر سلوك الواجهة لكل جلسة، وتلك الكائنات على جانب الخادم موجودة باستقلال عن أي شيء ينزّله المستخدم.

عندما يصادق مستخدم لكنه لا يصل إلى شيء، يقع العطل عمومًا هنا لا في العميل. قارن التجمع والمسارات الممنوحة للعميل وقائمة ACL التي تسمح بمرور الحركة، وافحصها مقابل ما يبلغ عنه المستخدم لا ما قصده التصميم.

تحقّق بالترتيب وتوقّف عند أول فشل

امشِ في المكوّنات الأربعة بالترتيب الذي يلقاها به الاتصال: المستمع، ثم المصادقة، ثم السياسة، ثم سلوك العميل. أكّد TLS بالهوية المتوقعة، وصادق حسابًا موثوقًا، واقرأ العنوان والمسارات المخصصة من الجلسة، وبعد ذلك فقط قارن منصة العميل بالحزمة. التوقّف عند أول فشل يُبقي متغيرًا واحدًا في اللعبة، وهذا هو الفرق بين إصلاح وتخمين.

بالنسبة لهاتف أو أي عميل خارج ذلك المثال المكتبي التاريخي، احصل على العقد الحقيقي المدعوم للعميل والبوابة بدلًا من افتراض أن سير عمل Windows قابل للتعميم. تغيير بروتوكول مطلوب لن يحوّل ملف تعريف IKEv2 إلى خدمة SSL VPN هذه، وتثبيت حزمة مكتبية لا يُثبت شيئًا عن دعم الهواتف.