Köhnə IOS SSL VPN: paket, profil, şlüz və sessiya

Marşrutlaşdırıcının flaşında müştəri quraşdırıcısı tapıb SSL VPN konfiqurasiya edildiyi qənaətinə gəlirsiniz. Bu, dörd komponentdən biridir və qalan üçü kiminsə qoşula biləcəyini müəyyən edir. Köhnə IOS SSL VPN-də hissələr ayrı obyektlərdir: başlıq müştəri paketi, istəyə bağlı müştəri profili, TLS-i sonlandıran WebVPN şlüzü və autentifikasiya ilə sessiya parametrlərini saxlayan kontekst üstəgəl qrup siyasəti. Birini buraxın, nasazlıq xaricdən eyni görünür.

Cisco-nun IOS 15.3 və AnyConnect 3.1 üzərində qurulmuş IOS SSL VPN konfiqurasiya nümunəsi məhz bu obyektləri ayrı saxladığı üçün faydalıdır. Onu həmin köhnə tətbiqin təsviri kimi oxuyun, həmin versiyaları yerləşdirmək tövsiyəsi kimi yox.

Birinci, paket: nədir və nə deyil

Başlıq paketi bir platforma üçün müştəri proqram təminatı verir. O, nə profildir, nə də dinləyici, və flaşda duran fayl yalnız kiminsə nəyisə yüklədiyini sübut edir. Bu, hansısa sessiyanın ondan istifadə etdiyini, platformanın istifadəçinin cihazına uyğun olduğunu və ya şlüzün ona ümumiyyətlə istinad etdiyini sübut etmir.

Dəqiq fayl adını, hədəflədiyi platformanı və konfiqurasiyanın ona hara istinad etdiyini təsdiqləyin. Windows paketi telefonlar barədə heç nə demir, heç bir şlüz obyektinin qeyd etmədiyi yüklənmiş fayl isə konfiqurasiya deyil, sadəcə yaddaşdır. Platformaya uyğun gələn, lakin heç vaxt xidmətlə əlaqələndirilməyən paket heç bir istifadəçiyə təqdim edilməyəcək. Fayl adı konfiqurasiyanın gözlədiyi dəyərdən fərqlənən paket də belədir.

İkinci, profil: proqram deyil, parametrlər

İstəyə bağlı müştəri profili administratorun ayrıca hazırladığı parametrləri daşıyır, məsələn server siyahıları və ya müştəri üstünlükləri. Onu quraşdırıcı ilə qarışdırmaq adi haldır, çünki hər ikisi oxşar adlı fayl kimi gəlir. Yerləşdirmə profil gözləyirsə, onun olmaması müştərinin qoşulub-qoşulmayacağını deyil, qoşulduqdan sonra nə etdiyini dəyişir.

Hər iki artefaktı inventarlaşdırın və şlüzün həqiqətən hansına istinad etdiyini qeyd edin. Bu tək sətir iki nəfərin fərqli fayllar barədə danışdığı bir sinif dəstək müraciətinin qarşısını alır.

Üçüncü, dinləyici və TLS kimliyi

Şlüz obyekti xarici dünyanın çatdığı ünvanı və portu, həmçinin əl sıxma zamanı təqdim olunan sertifikatı müəyyən edir. Brauzerin portal səhifəsinə çatması, müştərinin autentifikasiyanı tamamlaması və tətbiqin daxili serverə çatması üç ayrı müşahidədir və yalnız birincisi dinləyici testidir. Əl sıxma uğursuz olduqda aşağı axındakı heç nə hələ əhəmiyyət kəsb etmir, ona görə hər hansı siyasəti redaktə etməzdən əvvəl sertifikat zəncirini və adı yoxlayın.

Gözlənilən kimliyi harasa yazın. Yenilənmiş və ya dəyişdirilmiş sertifikat keçən ay işləyən yerləşdirmənin bu ay işləməməsinin ən çox rast gəlinən səbəbidir.

Dördüncü, kontekst və siyasət virtual şablonu ilə

Kontekst və qrup siyasəti autentifikasiyanı sessiya davranışına bağlayır: ünvan hovuzu, bölünmüş marşrutlar, DNS və istifadəçinin çata biləcəyi daxili şəbəkələr. Sənədləşdirilmiş nümunə kontekstini hər sessiya üçün interfeys davranışı verən virtual şablona bağlayır və həmin server tərəfli obyektlər istifadəçinin endirdiyi hər şeydən asılı olmayaraq mövcuddur.

İstifadəçi autentifikasiyadan keçir, lakin heç bir yerə çatmırsa, nasazlıq adətən müştəridə deyil, burada olur. Hovuzu, müştəriyə verilən marşrutları və sonrakı trafikə icazə verən ACL-i müqayisə edin və onları dizaynın nəzərdə tutduğu ilə deyil, istifadəçinin bildirdiyi ilə tutuşdurun.

Ardıcıllıqla yoxlayın və ilk nasazlıqda dayanın

Dörd komponenti əlaqənin onlarla rastlaşdığı ardıcıllıqla keçin: dinləyici, autentifikasiya, siyasət, sonra müştəri davranışı. TLS-i gözlənilən kimliklə təsdiqləyin, etibarlı hesabla autentifikasiyadan keçin, sessiyadan təyin edilmiş ünvanı və marşrutları oxuyun və yalnız bundan sonra müştərinin platformasını paketlə müqayisə edin. İlk nasazlıqda dayanmaq bir dəyişəni oyunda saxlayır və bu, təmir ilə təxmin arasındakı fərqdir.

Telefon və ya həmin tarixi masaüstü nümunədən kənarda qalan hər hansı müştəri üçün Windows iş axınının ümumiləşdiyini güman etmək əvəzinə real dəstəklənən müştəri və şlüz müqaviləsini əldə edin. Tələb olunan protokolu dəyişmək IKEv2 profilini bu SSL VPN xidmətinə çevirməyəcək və masaüstü paketinin quraşdırılması mobil dəstək barədə heç nə sübut etmir.