Мигриране на VPN: лицензи, функции и политика в един запис

Сесиите, които все още работят на стария концентратор, изглеждат като доказателство, че миграцията е почти завършена. Но те са един инвентарен ред и то най-безинтересният. Това, което преминаването изисква, е запис, който свързва целевия шлюз, поддържания клиент, закупеното право и наложената политика за достъп в един артефакт, който някой притежава. Без него миграцията е поредица от допускания, всяко от които изглежда разумно само по себе си.

Четири колони, а не един контролен списък

Какво може да понесе хардуерът, какво позволява договорът и какво допуска наборът от правила са три отделни въпроса и смесването им създава план, който никой не може да одитира. Дръжте ги в отделни колони и изисквайте всяка да цитира източника си. Устройство, което приема връзка, доказва, че устройството може да се свърже, и не обяснява нищо за обхвата на функциите или базата за отчитане. Три колони, които си противоречат, са много по-полезни от един абзац, който звучи уверено.

Записът е готов, когато и четирите колони са попълнени от някого, който има право да ги попълва. Колона, подписана от грешния собственик, е слух с дата върху него.

Платформа и права

Запишете поддържания шлюз, операционните системи на клиента, пътя за удостоверяване и инструментите за управление. Не поддържайте остарял клиент жив само защото старият му профил все още се отваря, тъй като този профил е твърдение за съвместимост, което доставчикът може вече да не спазва. Сверете текущото изявление за поддръжка с версията, която планирате да внедрите.

За правата запишете продукта, типа лиценз, срока и базата за отчитане, след което ги съгласувайте през собственика на акаунта. Извеждането на права от исторически брояч на сесии е начинът, по който една организация открива недостиг след преминаването, а не преди него.

Ръководствата за поръчка на доставчици показват защо тези разлики са важни. Например ръководството за поръчка на Secure Client на Cisco разделя нивата Advantage, Premier и VPN Only, всяко със своя мярка и обхват на функциите. Използвайте текущото споразумение, вместо да превеждате стар етикет механично.

Функции и наложена политика

Избройте възможностите, които внедряването наистина изисква: разрешени режими на тунела, оценка на устройствата, интеграция за удостоверяване и всеки друг модул. Проверявайте поддръжката и правата за всяка поотделно, защото една функция може да е поддържана и нелицензирана или лицензирана и неподдържана в избраната версия. Само ред, който казва „да“ и на двата въпроса, се брои.

Когато целта е ASA, колоната с функции се чете от самото устройство, а не от договора, затова заснемете шлюза преди деня на преминаването. show vpn-sessiondb summary дава инвентара на живите сесии и числата, спрямо които се измерва правото ви, show vpn-sessiondb detail anyconnect показва какъв тип клиент и профил е използвала всяка отчетена сесия, а show running-config webvpn заснема конфигурацията на шлюза, от която зависят тези сесии, и това е единствената част от записа, която никой лицензионен документ не може да съдържа.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

След преминаването изпълнете същите три команди на новия шлюз и ги сравнете със заснетите копия. Промяната на броя сесии е очаквана; тип клиент или блок webvpn, който се появява от едната страна и липсва от другата, е находката и тя принадлежи в записа с обяснение, а не в коментар към тикет. Пазете суровите снимки заедно с разликите, защото следващият рецензент ще иска да види какво е сравнявано. При друг доставчик еквивалентът е собствената таблица на сесиите и експортът на профили на тази платформа, във формат, който няма да съвпадне, затова сравнявайте въпросите, зададени към нея, а не текста.

След това съпоставете потребителите и устройствата с правилата на целта, разрешенията за ресурси и поведението при отказ. Лицензът, който включва функция, не е конфигурация, която я упражнява, и именно в пропастта между двете живеят повечето изненади при миграция.

Опишете случаите на отказ с толкова грижа, колкото и разрешените случаи. План, който доказва само, че администратор може да се свърже, е проверил най-лесния път и нито една от границите.

Приемайте от двете страни на решението

Преди преминаването изпълнете одобрен план за приемане по предвидените типове клиенти, методите за удостоверяване и ресурсите. Включете устройство или идентичност, които трябва да бъдат отказани, и потвърдете кое правило ги е избрало и до какво може да достигне получената сесия. Уговорете случаите на отказ, преди да се отвори прозорецът за промяна, за да не може никой тихо да ги изпусне под натиск на времето. План без случай на отказ е проверил щастливия път и нищо друго.

Пазете път за връщане назад и маршрут за управление, който не зависи от това, което се мигрира. Съхранявайте конфигурацията и записите за идентичност сигурно и оставете остарелите криптографски настройки зад себе си, вместо да ги пренасяте напред. Никога не поставяйте лицензионни идентификатори или потребителски записи в публични бележки.

Нека собственикът подпише правата и съпоставянето на политиката заедно. Готовият запис отговаря на два въпроса наведнъж: какво организацията има лиценз да внедри и кои правила действително допускат и ограничават нейните потребители.