Отказ по геолокация във Firebox: първо намерете етапа на влизане във VPN

Някой в друга държава не може да се свърже, а първият инстинкт е да се погледне правилото, което дава достъп до вътрешните ресурси. Това правило работи след допускането, така че не може да е нещото, което отхвърля тунела. Блокиращият етап е някъде в пътя на входа, а Firebox има повече от един път на вход в зависимост от VPN услугата. Изпълнете проверките по ред и спрете веднага щом една от тях обясни отказа.

Проверка 1: назовете входящата услуга

За Mobile VPN със SSL, Access Portal и BOVPN през TLS входящият вход е политиката WatchGuard SSLVPN. Приложете предвиденото ограничение там, върху действително конфигурираната услуга, вместо да го извеждате от правило за достъп на потребител, което работи по-късно.

IPsec поема по друг път. Вградената IPSec политика разрешава външен IPsec трафик към Firebox за съответните услуги за клон и мобилен VPN и има предимство пред ръчно създадена IPSec политика. Ако вашият клиент е IKEv2, вие сте на този втори път и политиката SSLVPN е без значение.

Грешката тук е най-често пропуснатият следобед в тази област: редактиране на политика, която никога не вижда пакета, и после заключение, че ограничението не работи.

Проверка 2: четете отказа, не теорията

Направете един контролиран разрешен опит и свържете четири неща: публичния адрес на източника на клиента, входящата услуга, която е засегнал, политиката, която е съвпаднала, и всяка причина за отказ в журнала. Ръководството на WatchGuard за отстраняване на проблеми с IKEv2 отбелязва, че геолокацията и обработката на пакети по подразбиране могат да откажат трафик преди допускането от вградената политика, което означава, че отказът, който виждате, може да посочва етап, който не сте обмислили.

Класификацията на държавата следва наблюдавания мрежов източник. Роуминг потребител, NAT по-горе по веригата или различен одобрен път могат да променят това, което Firebox вижда, затова потвърдете адреса, а не описанието на потребителя къде се намира. Поискайте публичния адрес, който клиентът вижда, и го сравнете с източника в журнала на Firebox. Когато се различават, класификацията следва път, който никой не е споменал.

Проверка 3: вградената политика ли е още собственик?

Ако изглежда, че ръчна IPSec политика се игнорира, проверете дали вградената все още е включена. Ръчно правило, засенчено от вградено правило с по-висок приоритет, и ръчно правило, което е единственото допускане, са различни конфигурации с еднакъв на вид интерфейс.

Решете кое от двете искате да притежава пътя. Ако е ръчната политика, вградената трябва да бъде изключена за този трафик и точно там започва следващата проверка.

Проверка 4: планирайте замяната преди изключването

Изключването на вградената IPSec политика премахва нейното допускане за засегнатите VPN услуги. Това включва тунели за клонове, за които може да не се сещате, докато поправяте връзката на един мобилен потребител.

Планирайте пълната замяна първо: кои услуги се нуждаят от допускане, какви обхвати на източници получават и как ще управлявате устройството, ако промяната се обърка. Дръжте независим път за управление и възстановяване отворен, защото грешка тук може да премахне тунела, който бихте използвали, за да я поправите. Запишете стъпките за възстановяване в записа за промяната, включително как да стигнете до устройството, ако VPN пътят е изчезнал. След това тествайте подновяването, не само първата връзка.

Активната свързаност и по-късното предоговаряне могат да зависят от допускането. Промяна, която работи за тестваната сесия и се проваля при следващата смяна на ключа, е класически резултат от замяна на допускането без тестване на подновяването.

Проверка 5: дръжте самоличността отделно от местоположението

Геолокацията добавя контекст към решението за вход. Тя не установява кой е потребителят и не бива да заменя проверките за самоличност на шлюза, оторизацията на акаунта или MFA.

Ако бизнес изискването е само одобрени потребители от одобрени места, имате нужда от двата контрола. Правило за местоположение, което допуска цяла държава, не замества автентикацията, а автентикиран потребител в блокирана държава е въпрос на политика, а не дефект.

Проверка 6: запишете го и проверете двата пътя

Запишете услугата, политиката за вход, предвидения обхват на местоположението, изключенията и отговорника за възстановяване. След това тествайте мобилния път и поне един път към сайт след промяната, за да остане ограничението свързано с услугата, за която е създадено.

Накрая препрочетете отказа, с който започнахте. Ако той се е променил от отказ по местоположение към отказ при автентикация или оторизация, входният проблем е решен и сега се вижда друг. Ръководство на WatchGuard за откази при IKEv2 е справката за подредбата на етапите, описана по-горе.