Stari IOS SSL VPN: paket, profil, pristupnik i sesija

Nađete klijentski instalater na flash memoriji rutera i zaključite da je SSL VPN konfigurisan. To je jedna komponenta od četiri, a preostale tri odlučuju može li se iko povezati. Kod starog IOS SSL VPN dijelovi su odvojeni objekti: klijentski paket na čelu, opcionalni klijentski profil, WebVPN pristupnik koji završava TLS, te kontekst i grupna politika koji drže postavke provjere identiteta i sesije. Propustite jedno i kvar izvana izgleda isto.

Ciscov primjer konfiguracije IOS SSL VPN, izgrađen na IOS 15.3 s AnyConnect 3.1, koristan je upravo zato što te objekte drži odvojeno. Čitajte ga kao opis te starije implementacije, a ne kao preporuku da te verzije uvozite.

Prvo, paket: šta jeste i šta nije

Paket na čelu isporučuje klijentski softver za jednu platformu. On nije ni profil ni osluškivač, a fajl koji leži na flash memoriji dokazuje samo da je neko nešto prenio. On ne dokazuje da ga je sesija ikada koristila, da se platforma poklapa s korisnikovim uređajem ili da se pristupnik uopšte na njega poziva.

Provjerite tačan naziv fajla, platformu kojoj je namijenjen i mjesto na koje konfiguracija pokazuje. Windows paket ne govori ništa o telefonima, a preneseni fajl koji nijedan objekat pristupnika ne spominje je skladištenje, a ne konfiguracija. Paket koji odgovara platformi ali nikada nije povezan sa servisom neće biti ponuđen nijednom korisniku. Niti onaj čiji se naziv fajla razlikuje od vrijednosti koju konfiguracija očekuje.

Drugo, profil: postavke, a ne softver

Opcionalni klijentski profil nosi postavke koje administrator priprema odvojeno, poput spiskova servera ili klijentskih preferencija. Miješanje s instalaterom je često jer oboje dolazi kao fajlovi sa sličnim nazivima. Ako implementacija očekuje profil, njegovo odsustvo mijenja ono što klijent radi nakon povezivanja, a ne to hoće li se uopšte povezati.

Popišite oba artefakta i zabilježite na koji se pristupnik stvarno poziva. Taj jedan red sprječava čitavu klasu zahtjeva podršci u kojima dvoje ljudi raspravljaju o različitim fajlovima.

Treće, osluškivač i TLS identitet

Objekt pristupnika definiše adresu i port do kojih vanjski svijet dolazi i certifikat koji se predstavlja tokom rukovanja. Pretraživač koji dolazi do portala, klijent koji završava provjeru identiteta i aplikacija koja dolazi do privatnog servera tri su odvojena zapažanja, a samo je prvo test osluškivača. Kada rukovanje ne uspije, ništa nizvodno još nije važno, pa provjerite lanac certifikata i naziv prije nego što uredite bilo koju politiku.

Zapišite očekivani identitet negdje. Obnovljen ili zamijenjen certifikat najčešći je razlog zašto implementacija koja je radila prošlog mjeseca prestane raditi ovog.

Četvrto, kontekst i politika sa svojim virtuelnim šablonom

Kontekst i grupna politika vezuju provjeru identiteta za ponašanje sesije: bazen adresa, razdvojene rute, DNS i unutrašnje mreže do kojih korisnik može doći. Dokumentovani primjer pripaja svoj kontekst virtuelnom šablonu koji pruža ponašanje interfejsa za svaku sesiju, a ti objekti na strani servera postoje nezavisno od svega što korisnik preuzme.

Kada se korisnik prijavi ali do ničega ne dođe, greška obično leži ovdje, a ne u klijentu. Uporedite bazen, rute koje su klijentu dodijeljene i ACL koji dozvoljava dalji saobraćaj, i provjerite ih prema onome što korisnik prijavljuje, a ne prema onome što je dizajn namjeravao.

Provjeravajte redom i zaustavite se na prvom kvaru

Prođite kroz četiri komponente redom kojim ih veza susreće: osluškivač, provjera identiteta, politika, zatim ponašanje klijenta. Potvrdite TLS s očekivanim identitetom, prijavite provjereni račun, pročitajte dodijeljenu adresu i rute iz sesije i tek onda uporedite platformu klijenta s paketom. Zaustavljanje na prvom kvaru drži jednu promjenljivu u igri, a to je razlika između popravke i nagađanja.

Za telefon ili bilo koji klijent izvan tog istorijskog primjera za stolno računalo, pribavite stvarni podržani ugovor klijenta i pristupnika umjesto da pretpostavljate da se Windows tok rada generalizuje. Promjena traženog protokola neće pretvoriti IKEv2 profil u ovaj SSL VPN servis, a instalacija stolnog paketa ne dokazuje ništa o mobilnoj podršci.