Стары IOS SSL VPN: пакет, профіль, шлюз і сесія

Вы знаходзіце кліенцкі ўсталёўшчык у флэшы маршрутызатара і робіце выснову, што SSL VPN наладжаны. Гэта адзін кампанент з чатырох, і астатнія тры вырашаюць, ці зможа хтосьці падключыцца. У старым IOS SSL VPN часткі — асобныя аб’екты: пакет кліента галаўнога вузла, неабавязковы кліенцкі профіль, шлюз WebVPN, які завяршае TLS, і кантэкст разам з групавой палітыкай, дзе захоўваюцца налады аўтэнтыфікацыі і сесіі. Прапусціце адзін — і знешне няспраўнасць выглядае гэтак жа.

Прыклад канфігурацыі Cisco IOS SSL VPN, пабудаваны на IOS 15.3 з AnyConnect 3.1, карысны менавіта тым, што трымае гэтыя аб’екты асобна. Чытайце яго як апісанне той старой рэалізацыі, а не як рэкамендацыю разгортваць тыя версіі.

Першае, пакет: што ён ёсць і чым не ёсць

Пакет галаўнога вузла пастаўляе кліенцкае праграмнае забеспячэнне для адной платформы. Ён не з’яўляецца ні профілем, ні слухачом, а файл, што ляжыць у флэшы даказвае толькі тое, што нехта нешта загрузіў. Ён не даказвае, што сесія калі-небудзь яго выкарыстала, што платформа адпавядае прыладзе карыстальніка ці што шлюз наогул на яго спасылаецца.

Праверце дакладнае імя файла, платформу, на якую ён разлічаны, і месца, куды паказвае канфігурацыя. Пакет для Windows нічога не кажа пра тэлефоны, а загружаны файл, якога не згадвае ніводны аб’ект шлюза, — гэта захоўванне, а не канфігурацыя. Пакет, які адпавядае платформе, але ніколі не звязваецца з паслугай, не будзе прапанаваны ніводнаму карыстальніку. Гэтак жа і той, чыё імя файла адрозніваецца ад значэння, якога чакае канфігурацыя.

Другое, профіль: налады, а не праграмнае забеспячэнне

Неабавязковы кліенцкі профіль змяшчае налады, якія адміністратар рыхтуе асобна, напрыклад спісы сервераў ці кліенцкія перавагі. Блытаць яго з усталёўшчыкам — звычайная справа, бо абодва прыходзяць як файлы з падобнымі імёнамі. Калі разгортванне чакае профіль, яго адсутнасць змяняе тое, што кліент робіць пасля падключэння, а не тое, ці падключыцца ён наогул.

Пералічыце абодва артэфакты і занатуйце, на які з іх шлюз фактычна спасылаецца. Гэты адзіны радок прадухіляе цэлы клас зваротаў у падтрымку, дзе два чалавекі абмяркоўваюць розныя файлы.

Трэцяе, слухач і ідэнтычнасць TLS

Аб’ект шлюза вызначае адрас і порт, да якіх дабіраецца знешні свет, і сертыфікат, які падаецца падчас рукапаціску. Браўзер, што даходзіць да старонкі партала, кліент, што завяршае аўтэнтыфікацыю, і праграма, што даходзіць да прыватнага сервера, — тры асобныя назіранні, і толькі першае з’яўляецца тэстам слухача. Калі рукапаціск не ўдаецца, нішто ніжэй па патоку яшчэ не мае значэння, таму праверце ланцуг сертыфікатаў і імя, перш чым рэдагаваць любую палітыку.

Запішыце чаканую ідэнтычнасць недзе. Абноўлены ці заменены сертыфікат — самая частая прычына, чаму разгортванне, якое працавала ў мінулым месяцы, перастае працаваць у гэтым.

Чацвёртае, кантэкст і палітыка з яго віртуальным шаблонам

Кантэкст і групавая палітыка звязваюць аўтэнтыфікацыю з паводзінамі сесіі: пул адрасоў, раздзеленыя маршруты, DNS і ўнутраныя сеткі, да якіх карыстальнік можа дабрацца. Дакументаваны прыклад далучае свой кантэкст да віртуальнага шаблона, які забяспечвае паводзіны інтэрфейсу для кожнай сесіі, і гэтыя серверныя аб’екты існуюць незалежна ад таго, што карыстальнік спампоўвае.

Калі карыстальнік праходзіць аўтэнтыфікацыю, але нікуды не дабіраецца, віна звычайна тут, а не ў кліенце. Параўнайце пул, маршруты, выдадзеныя кліенту, і ACL, які дазваляе далейшы трафік, і зверце іх з тым, што паведамляе карыстальнік, а не з тым, што меў на ўвазе дызайн.

Правярайце па парадку і спыняйцеся на першай няспраўнасці

Прайдзіце чатыры кампаненты ў тым парадку, у якім іх сустракае злучэнне: слухач, аўтэнтыфікацыя, палітыка, затым паводзіны кліента. Пацвердзіце TLS з чаканай ідэнтычнасцю, аўтэнтыфікуйце надзейны ўліковы запіс, прачытайце прызначаны адрас і маршруты з сесіі і толькі пасля гэтага параўнайце платформу кліента з пакетам. Спыненне на першай няспраўнасці пакідае адну зменную ў гульні, і гэта розніца паміж рамонтам і здагадкай.

Для тэлефона ці любога кліента па-за тым гістарычным прыкладам для працоўнага стала атрымайце рэальны падтрыманы кантракт кліента і шлюза замест таго, каб меркаваць, што працэс Windows абагульваецца. Змена запытанага пратаколу не ператворыць профіль IKEv2 у гэтую паслугу SSL VPN, а ўсталяванне настольнага пакета нічога не даказвае пра падтрымку мабільных прылад.