Остарял IOS SSL VPN: пакет, профил, шлюз и сесия

Намирате клиентски инсталатор във флаш паметта на рутера и заключавате, че SSL VPN е конфигуриран. Това е един компонент от четири, а останалите три решават дали някой изобщо може да се свърже. При остарелия IOS SSL VPN частите са отделни обекти: клиентският пакет на главата, незадължителен клиентски профил, WebVPN шлюзът, който терминира TLS, и контекстът плюс груповата политика, които държат настройките за удостоверяване и сесия. Пропуснете едно и отвън отказът изглежда същият.

Примерната конфигурация на Cisco за IOS SSL VPN, изградена на IOS 15.3 с AnyConnect 3.1, е полезна именно защото държи тези обекти разделени. Четете я като описание на онази по-стара реализация, а не като препоръка да разгръщате тези версии.

Първо, пакетът: какво е и какво не е

Пакетът на главата доставя клиентски софтуер за една платформа. Той не е нито профилът, нито слушателят, а файл, който стои във флаш паметта доказва само, че някой е качил нещо. Той не доказва, че сесия някога го е използвала, че платформата съвпада с устройството на потребителя или че шлюзът изобщо се позовава на него.

Проверете точното име на файла, платформата, за която е предназначен, и мястото, към което сочи конфигурацията. Пакет за Windows не ви казва нищо за телефони, а качен файл, който нито един обект на шлюза не споменава, е съхранение, а не конфигурация. Пакет, който съвпада с платформата, но никога не се свързва с услугата, няма да бъде предложен на нито един потребител. Нито такъв, чието име на файл се различава от стойността, която конфигурацията очаква.

Второ, профилът: настройки, а не софтуер

Незадължителният клиентски профил носи настройки, които администраторът подготвя отделно, например списъци със сървъри или клиентски предпочитания. Объркването му с инсталатор е често срещано, защото и двете пристигат като файлове с подобни имена. Ако разгръщането очаква профил, липсата му променя това, което клиентът прави след свързване, а не дали се свързва изобщо.

Направете опис на двата артефакта и запишете на кой от тях шлюзът действително се позовава. Този единствен ред предотвратява цял клас тикети за поддръжка, в които двама души обсъждат различни файлове.

Трето, слушателят и идентичността на TLS

Обектът на шлюза определя адреса и порта, до които достига външният свят, и сертификата, представен по време на ръкостискането. Браузър, който достига до портална страница, клиент, който завършва удостоверяване, и приложение, което достига до частен сървър, са три отделни наблюдения и само първото е тест на слушателя. Когато ръкостискането се провали, нищо по-надолу все още няма значение, затова проверете веригата от сертификати и името, преди да редактирате каквато и да е политика.

Запишете очакваната идентичност някъде. Подновен или заменен сертификат е най-честата причина разгръщане, което е работело миналия месец, да спре да работи този.

Четвърто, контекстът и политиката с нейния виртуален шаблон

Контекстът и груповата политика обвързват удостоверяването с поведението на сесията: пул от адреси, разделени маршрути, DNS и вътрешните мрежи, до които потребителят може да достигне. Документираният пример прикача контекста си към виртуален шаблон, който осигурява поведение на интерфейса за всяка сесия, и тези сървърни обекти съществуват независимо от каквото и да е, което потребителят изтегля.

Когато потребител се удостовери, но не достига до нищо, вината обикновено е тук, а не в клиента. Сравнете пула, маршрутите, дадени на клиента, и ACL, който разрешава по-нататъшен трафик, и ги сверте с това, което потребителят съобщава, а не с това, което дизайнът е предвиждал.

Проверявайте по ред и спирайте при първия проблем

Минете през четирите компонента в реда, в който връзката ги среща: слушател, удостоверяване, политика, след това поведение на клиента. Потвърдете TLS с очакваната идентичност, удостоверете надежден акаунт, прочетете зададения адрес и маршрути от сесията и едва след това сравнете платформата на клиента с пакета. Спирането при първия проблем оставя една променлива в игра и това е разликата между ремонт и догадка.

За телефон или всеки клиент извън онзи исторически пример за настолен компютър получете реалния поддържан договор за клиент и шлюз, вместо да предполагате, че работният процес за Windows се обобщава. Промяната на заявен протокол няма да превърне IKEv2 профил в тази SSL VPN услуга, а инсталирането на настолен пакет не доказва нищо за мобилната поддръжка.