Адмова геалакацыі Firebox: спачатку знайдзіце стадыю ўваходу VPN

Нехта ў іншай краіне не можа падключыцца, і першы інстынкт — паглядзець на правіла, якое дае доступ да ўнутраных рэсурсаў. Гэтае правіла працуе пасля допуску, таму яно не можа быць тым, што адхіляе тунель. Блакуючая стадыя знаходзіцца недзе ў шляху ўваходу, і Firebox мае не адзін шлях уваходу ў залежнасці ад паслугі VPN. Выконвайце праверкі па парадку і спыніцеся, як толькі адна з іх патлумачыць адмову.

Праверка 1: назвіце ўваходную паслугу

Для Mobile VPN з SSL, Access Portal і BOVPN праз TLS уваходнай кропкай з'яўляецца палітыка WatchGuard SSLVPN. Прымяніце меркаванае абмежаванне там, на фактычна наладжанай паслузе, замест таго каб рабіць выснову з правіла доступу карыстальніка, якое працуе пазней.

IPsec ідзе іншым шляхам. Убудаваная палітыка IPSec дазваляе знешні трафік IPsec да Firebox для адпаведных паслуг філіяла і мабільнага VPN, і яна мае перавагу над створанай уручную палітыкай IPSec. Калі ваш кліент — IKEv2, вы на другім шляху, і палітыка SSLVPN не мае значэння.

Памылка тут — гэта самы часты марна страчаны паўдзень у гэтай галіне: правіць палітыку, якая ніколі не бачыць пакет, а потым рабіць выснову, што абмежаванне не працуе.

Праверка 2: чытайце адмову, а не тэорыю

Зрабіце адну кантраляваную дазволеную спробу і суаднясіце чатыры рэчы: публічны адрас крыніцы кліента, уваходную паслугу, якую ён закрануў, палітыку, якая супала, і любую прычыну адмовы ў журнале. Кіраўніцтва WatchGuard па выпраўленні непаладак IKEv2 адзначае, што геалакацыя і апрацоўка пакетаў па змаўчанні могуць адхіляць трафік да допуску ўбудаванай палітыкай, а значыць, убачаная адмова можа называць стадыю, якую вы не ўлічвалі.

Класіфікацыя краіны ідзе за назіранай сеткавай крыніцай. Вандроўны карыстальнік, вышэйшы NAT або іншы ўхвалены шлях могуць змяніць тое, што бачыць Firebox, таму пацвярджайце адрас, а не апісанне карыстальнікам свайго месцазнаходжання. Запытайце публічны адрас, які бачыць кліент, і параўнайце яго з крыніцай у журнале Firebox. Калі яны розняцца, класіфікацыя ідзе шляхам, пра які ніхто не згадаў.

Праверка 3: ці ўбудаваная палітыка ўсё яшчэ ўладальнік?

Калі здаецца, што ручная палітыка IPSec ігнаруецца, праверце, ці ўбудаваная ўсё яшчэ ўключана. Ручное правіла, якое засланяецца ўбудаваным правілам з вышэйшым прыярытэтам, і ручное правіла, якое з'яўляецца адзіным допускам, — гэта розныя канфігурацыі з аднолькавым выглядам інтэрфейсу.

Вызначце, якая з іх павінна валодаць шляхам. Калі гэта ручная палітыка, убудаваную трэба адключыць для гэтага трафіку, і менавіта тут пачынаецца наступная праверка.

Праверка 4: сплануйце замену да адключэння

Адключэнне ўбудаванай палітыкі IPSec прыбірае яе допуск для закранутых паслуг VPN. Гэта ўключае тунелі філіялаў, пра якія вы можаце не думаць, пакуль выпраўляеце падключэнне аднаго мабільнага карыстальніка.

Спачатку сплануйце поўную замену: якім паслугам патрэбны допуск, якія дыяпазоны крыніц яны атрымаюць і як вы будзеце кіраваць прыладай, калі змена пойдзе не так. Трымайце незалежны шлях кіравання і аднаўлення адкрытым, бо памылка тут можа прыбраць тунель, які вы б выкарысталі, каб яго выправіць. Запішыце крокі аднаўлення ў запіс аб змене, уключна з тым, як дабрацца да прылады, калі шлях VPN знік. Затым праверце абнаўленне, а не толькі першае падключэнне.

Актыўнае злучэнне і пазнейшае пераўзгадненне могуць залежаць ад допуску. Змена, якая працуе для праверанай сесіі і зрываецца пры наступнай змене ключа, — класічны вынік замены допуску без праверкі абнаўлення.

Праверка 5: трымайце ідэнтычнасць асобна ад месцазнаходжання

Геалакацыя дадае кантэкст да рашэння аб уваходзе. Яна не ўстанаўлівае, хто карыстальнік, і не павінна замяняць праверкі ідэнтычнасці шлюза, аўтарызацыю ўліковага запісу або MFA.

Калі бізнес-патрабаванне — толькі ўхваленыя карыстальнікі з ухваленых месцаў, вам патрэбны абодва кантролі. Правіла месцазнаходжання, якое дапускае цэлую краіну, не замяняе аўтэнтыфікацыю, а аўтэнтыфікаваны карыстальнік у заблакаванай краіне — гэта пытанне палітыкі, а не памылка.

Праверка 6: запішыце гэта і праверце абодва шляхі

Запішыце паслугу, палітыку ўваходу, меркаваны дыяпазон месцазнаходжання, выключэнні і адказнага за аднаўленне. Затым праверце мабільны шлях і хаця б адзін шлях сайта пасля змены, каб абмежаванне заставалася прывязаным да паслугі, для якой яно прызначана.

Нарэшце, перачытайце адмову, з якой вы пачалі. Калі яна змянілася з адмовы па месцазнаходжанні на збой аўтэнтыфікацыі або аўтарызацыі, праблема ўваходу вырашана, і цяпер бачная іншая. Кіраўніцтва WatchGuard па адмовах IKEv2 — гэта даведка для парадку стадый, апісанага вышэй.