Перанос VPN: ліцэнзіі, функцыі і палітыка ў адным запісе

Сесіі, якія ўсё яшчэ працуюць на старым канцэнтратары, выглядаюць як доказ таго, што перанос амаль завершаны. Але гэта адзін пункт інвентара, і найменш цікавы. Пераключэнню патрэбны запіс, які звязвае мэтавы шлюз, падтрымліванага кліента, набытыя правы і прымусовую палітыку допуску ў адзіны артэфакт, якім валодае канкрэтны чалавек. Без яго перанос — гэта шэраг здагадак, кожная з якіх паасобку выглядае разумнай.

Чатыры слупкі, а не адзін кантрольны спіс

Што здольнае вытрымаць абсталяванне, што дазваляе кантракт і што дапускае набор правілаў, — гэта тры асобныя пытанні, і іх змешванне дае план, які ніхто не зможа прааўдытаваць. Трымайце іх у асобных слупках і патрабуйце, каб кожны спасылаўся на сваю крыніцу. Прылада, якая прымае злучэнне, даказвае, што прылада можа падключыцца, і гэта нічога не тлумачыць пра аб’ём функцый ці базу падліку. Тры слупкі, якія супярэчаць адзін аднаму, значна карыснейшыя за адзін абзац, які гучыць упэўнена.

Запіс завершаны, калі ўсе чатыры слупкі запоўнены тым, хто мае права іх запаўняць. Слупок, падпісаны не тым уладальнікам, — гэта чутка з датай.

Платформа і правы

Запішыце падтрымліваны шлюз, аперацыйныя сістэмы кліента, шлях аўтэнтыфікацыі і сродкі кіравання. Не падтрымлівайце састарэлы кліент жывым толькі таму, што яго стары профіль усё яшчэ адкрываецца, бо гэты профіль — заяўка на сумяшчальнасць, якую пастаўшчык можа ўжо не выконваць. Зверце бягучую заяву аб падтрымцы з выпускам, які вы плануеце разгарнуць.

Для правоў запішыце прадукт, тып ліцэнзіі, тэрмін і базу падліку, а затым узгадніце іх праз уладальніка ўліковага запісу. Выводзіць правы з гістарычнага лічыльніка сесій — гэта спосаб, якім арганізацыя выяўляе недахоп пасля пераключэння, а не да яго.

Дапаможнікі па замове ад пастаўшчыкоў паказваюць, чаму гэтыя адрозненні важныя. Напрыклад, дапаможнік па замове Secure Client ад Cisco падзяляе ўзроўні Advantage, Premier і VPN Only, кожны са сваёй мерай і аб’ёмам функцый. Карыстайцеся бягучай дамовай, а не перакладайце старую этыкетку механічна.

Функцыі і прымусовая палітыка

Пералічыце магчымасці, якія разгортванне рэальна патрабуе: дазволеныя рэжымы тунэля, ацэнка прылад, інтэграцыя аўтэнтыфікацыі і любы іншы модуль. Правярайце падтрымку і правы для кожнай асобна, бо функцыя можа быць падтрыманай і неліцэнзаванай або ліцэнзаванай і непадтрыманай у абраным выпуску. Залічваецца толькі радок, які кажа «так» на абодва пытанні.

Калі мэта — ASA, слупок функцый чытаецца з самай прылады, а не з кантракта, таму зафіксуйце шлюз да дня пераключэння. show vpn-sessiondb summary дае здымак жывога інвентара сесій і лікі, супраць якіх вымяраюцца вашы правы, show vpn-sessiondb detail anyconnect паказвае, які тып кліента і профіль фактычна выкарыстоўвала кожная аднесеная сесія, а show running-config webvpn фіксуе канфігурацыю шлюза, ад якой залежаць гэтыя сесіі, і гэта адзіная частка запісу, якую не можа змясціць ні адзін ліцэнзійны дакумент.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Пасля пераключэння выканайце тыя ж тры каманды на новым шлюзе і параўнайце іх з захаванымі копіямі. Змена ліку сесій чаканая; тып кліента або блок webvpn, які з’яўляецца з аднаго боку і адсутнічае з другога, — гэта знаходка, і ёй месца ў запісе з тлумачэннем, а не ў каментары да тыкета. Захоўвайце неапрацаваныя здымкі разам з розніцай, бо наступны рэцэнзент захоча ўбачыць, што менавіта параўноўвалі. У іншага пастаўшчыка эквівалент — уласная табліца сесій і экспарт профіляў гэтай платформы, у фармаце, які не супадзе, таму параўноўвайце пытанні, зададзеныя ёй, а не тэкст.

Затым суаднясіце карыстальнікаў і прылады з правіламі мэты, дазволамі на рэсурсы і паводзінамі адмовы. Ліцэнзія, якая ўключае функцыю, — гэта не канфігурацыя, якая яе ўжывае, і менавіта ў прамежку паміж гэтым двума жыве большасць сюрпрызаў пераносу.

Апішыце выпадкі адмовы з той жа стараннасцю, што і дазволеныя выпадкі. План, які даказвае толькі тое, што адміністратар можа падключыцца, праверыў самы просты шлях і ні адной мяжы.

Прымайце па абодва бакі рашэння

Да пераключэння выканайце зацверджаны план прыёмкі па мэтавых тыпах кліентаў, метадах аўтэнтыфікацыі і рэсурсах. Уключыце прыладу або ідэнтычнасць, якая павінна быць адхілена, і пацвердзіце, якое правіла яе выбрала і чаго можа дасягнуць атрыманая сесія. Узгодніце выпадкі адмовы да адкрыцця акна змен, каб ніхто не мог ціха іх выкінуць пад ціскам часу. План без выпадку адмовы праверыў шчаслівы шлях і больш нічога.

Трымайце шлях адкату і маршрут кіравання, які не залежыць ад таго, што пераносіцца. Бяспечна захоўвайце канфігурацыю і запісы ідэнтычнасці, а састарэлыя крыптаграфічныя налады пакіньце ззаду, а не пераносьце наперад. Ніколі не ўстаўляйце ідэнтыфікатары ліцэнзій або запісы карыстальнікаў у публічныя нататкі.

Няхай уладальнік падпіша правы і суаднясенне палітыкі разам. Завершаны запіс адказвае адразу на два пытанні: што арганізацыя мае права разгортваць і якія правілы фактычна дапускаюць і абмяжоўваюць яе карыстальнікаў.