Firebox geolokasiya imtinası: əvvəlcə VPN giriş mərhələsini tapın

Başqa ölkədə olan kimsə qoşula bilmir və ilk instinkt daxili resurslara giriş verən qaydaya baxmaqdır. Həmin qayda qəbuldan sonra işləyir, ona görə tuneli rədd edən şey ola bilməz. Bloklayan mərhələ giriş yolunun haradasa bir yerindədir və Firebox VPN xidmətindən asılı olaraq birdən çox giriş yoluna malikdir. Yoxlamaları sıra ilə aparın və onlardan biri imtinanı izah edən kimi dayanın.

Yoxlama 1: gələn xidməti adlandırın

SSL ilə Mobile VPN, Access Portal və TLS üzərindən BOVPN üçün gələn giriş WatchGuard SSLVPN siyasətidir. Nəzərdə tutulan məhdudiyyəti orada, faktiki konfiqurasiya edilmiş xidmətdə tətbiq edin, sonra işləyən istifadəçi giriş qaydasından çıxarış etməyin.

IPsec fərqli yol tutur. Daxili IPSec siyasəti xarici IPsec trafikinin Firebox-a müvafiq filial və mobil VPN xidmətləri üçün keçməsinə icazə verir və əl ilə yaradılmış IPSec siyasətindən üstün tutulur. Müştəriniz IKEv2-dirsə, siz o ikinci yoldasınız və SSLVPN siyasəti əlaqəsizdir.

Bunu səhv etmək bu sahədə ən çox itirilən günün yarısıdır: paketi heç vaxt görməyən siyasəti redaktə etmək, sonra məhdudiyyətin işləmədiyi qənaətinə gəlmək.

Yoxlama 2: nəzəriyyəni deyil, imtinanı oxuyun

Bir nəzarətli icazəli cəhd edin və dörd şeyi əlaqələndirin: müştərinin açıq mənbə ünvanı, ona dəyən giriş xidməti, uyğun gələn siyasət və jurnalda hər hansı İmtina səbəbi. WatchGuard-ın IKEv2 nasazlıqların aradan qaldırılması təlimatı qeyd edir ki, geolokasiya və defolt paket emalı trafiki daxili siyasət qəbulundan əvvəl rədd edə bilər, yəni gördüyünüz imtina nəzərə almadığınız mərhələni göstərə bilər.

Ölkə təsnifatı müşahidə olunan şəbəkə mənbəyini izləyir. Dolaşan istifadəçi, yuxarı NAT və ya fərqli təsdiqlənmiş yol Firebox-ın gördüyünü dəyişə bilər, ona görə istifadəçinin harada olduğu təsvirini deyil, ünvanı təsdiqləyin. Müştərinin gördüyü açıq ünvanı istəyin və Firebox jurnalındakı mənbə ilə müqayisə edin. Onlar fərqlənəndə təsnifat heç kimin qeyd etmədiyi yolu izləyir.

Yoxlama 3: daxili siyasət hələ də sahibdirmi?

Əl ilə yaradılmış IPSec siyasəti görməzlikdən gəlmiş görünürsə, daxilinin hələ də aktiv olub olmadığını yoxlayın. Daha yüksək prioritetli daxili qayda ilə kölgədə qalan əl qaydası və yeganə qəbul olan əl qaydası eyni görünən interfeysə malik fərqli konfiqurasiyalardır.

Yolun hansına sahib olmaq istədiyinizə qərar verin. Əl siyasətidirsə, daxili həmin trafik üçün söndürülməlidir və növbəti yoxlama buradan başlayır.

Yoxlama 4: söndürməzdən əvvəl əvəzləməni planlaşdırın

Daxili IPSec siyasətinin söndürülməsi onun təsirlənən VPN xidmətləri üçün qəbulunu aradan qaldırır. Buraya bir mobil istifadəçinin bağlantısını düzəldərkən düşünmədiyiniz filial tunelləri də daxildir.

Əvvəlcə tam əvəzləməni planlaşdırın: hansı xidmətlərə qəbul lazımdır, hansı mənbə əhatələri alırlar və dəyişiklik pis getsə qurğunu necə idarə edəcəksiniz. Müstəqil idarəetmə və bərpa yolu açıq saxlayın, çünki buradakı səhv onu düzəltmək üçün istifadə edəcəyiniz tuneli aradan qaldıra bilər. Bərpa addımlarını dəyişiklik qeydinə yazın, o cümlədən VPN yolu yoxdursa qurğuya necə çatacağınızı. Sonra yalnız ilk bağlantını deyil, yenilənməni də sınaqdan keçirin.

Aktiv bağlantı və sonrakı yenidən danışıqlar hər ikisi qəbuldan asılı ola bilər. Sınaqdan keçirdiyiniz sessiya üçün işləyən və növbəti açar dəyişməsində uğursuz olan dəyişiklik, yenilənməni sınaqdan keçirmədən qəbulun əvəzlənməsinin klassik nəticəsidir.

Yoxlama 5: kimliyi yerdən ayrı saxlayın

Geolokasiya giriş qərarına kontekst əlavə edir. İstifadəçinin kim olduğunu müəyyən etmir və şlüz kimlik yoxlamalarını, hesab avtorizasiyasını və ya MFA-nı əvəz etməməlidir.

Biznes tələbi yalnız təsdiqlənmiş yerlərdən təsdiqlənmiş istifadəçilərdirsə, hər iki nəzarət lazımdır. Bütöv bir ölkəni qəbul edən məkan qaydası autentifikasiyanın əvəzi deyil və bloklanmış ölkədə autentifikasiya olunmuş istifadəçi səhv deyil, siyasət məsələsidir.

Yoxlama 6: qeyd edin və hər iki yolu yoxlayın

Xidməti, giriş siyasətini, nəzərdə tutulan məkan əhatəsini, istisnaları və bərpa sahibini yazın. Sonra dəyişiklikdən sonra mobil yolu və ən azı bir sayt yolunu sınaqdan keçirin ki, məhdudiyyət nəzarət etmək üçün hazırlandığı xidmətə bağlı qalsın.

Nəhayət, başladığınız imtinanı yenidən oxuyun. Əgər o, məkan imtinasından autentifikasiya və ya avtorizasiya uğursuzluğuna çevrilibsə, giriş problemi həll olunub və indi başqa biri görünür. Yuxarıda təsvir olunan mərhələ sırası üçün WatchGuard IKEv2 imtina təlimatı istinad mənbəyidir.