Denegació de geolocalització del Firebox: trobeu primer l'etapa d'entrada VPN

Algú en un altre país no pot connectar-se, i el primer instint és mirar la regla que concedeix accés als recursos interns. Aquesta regla s'executa després de l'admissió, així que no pot ser el que rebutja el túnel. L'etapa que bloqueja és en algun punt del camí d'entrada, i el Firebox té més d'un camí d'entrada segons el servei VPN. Feu les comprovacions en ordre i atureu-vos tan bon punt una d'elles expliqui la denegació.

Comprovació 1: anomeneu el servei entrant

Per a Mobile VPN amb SSL, Access Portal i BOVPN sobre TLS, l'entrada entrant és la política WatchGuard SSLVPN. Apliqueu-hi la restricció prevista, sobre el servei realment configurat, en lloc d'inferir-la d'una regla d'accés d'usuari que s'executa més tard.

IPsec segueix un camí diferent. La política IPSec integrada permet el trànsit IPsec extern cap al Firebox per als serveis de branca i VPN mòbil aplicables, i té precedència sobre una política IPSec creada manualment. Si el vostre client és IKEv2, sou en aquest segon camí, i la política SSLVPN és irrellevant.

Equivocar-se aquí és la tarda més habitualment perduda en aquest àmbit: editar una política que mai veu el paquet i després concloure que la restricció no funciona.

Comprovació 2: llegiu la denegació, no la teoria

Feu un intent permès i controlat i correleu quatre coses: l'adreça d'origen pública del client, el servei d'entrada que ha tocat, la política que ha coincidit i qualsevol motiu de denegació al registre. La guia de resolució de problemes d'IKEv2 de WatchGuard assenyala que la geolocalització i el tractament predeterminat de paquets poden denegar trànsit abans de l'admissió de la política integrada, cosa que vol dir que la denegació que veieu pot anomenar una etapa que no havíeu considerat.

La classificació del país segueix l'origen de xarxa observat. Un usuari en itinerància, un NAT anterior o un camí aprovat diferent poden canviar el que veu el Firebox, així que confirmeu l'adreça i no la descripció de l'usuari sobre on és. Demaneu l'adreça pública que veu el client i compareu-la amb l'origen del registre del Firebox. Quan difereixen, la classificació segueix un camí que ningú no ha esmentat.

Comprovació 3: la política integrada encara és la propietària?

Si una política IPSec manual sembla ignorada, comproveu si la integrada encara està activada. Una regla manual tapada per una regla integrada de prioritat més alta i una regla manual que és l'única admissió són configuracions diferents amb una interfície d'aspecte idèntic.

Decidiu quina ha de posseir el camí. Si és la política manual, la integrada s'ha de desactivar per a aquest trànsit, i aquí comença la comprovació següent.

Comprovació 4: planifiqueu la substitució abans de desactivar

Desactivar la política IPSec integrada elimina la seva admissió per als serveis VPN afectats. Això inclou túnels de branca en què potser no penseu mentre arregleu la connexió d'un usuari mòbil.

Planifiqueu primer la substitució completa: quins serveis necessiten admissió, quins àmbits d'origen reben i com gestionareu l'equip si el canvi va malament. Manteniu obert un camí de gestió i recuperació independent, perquè un error aquí pot eliminar el túnel que faríeu servir per arreglar-lo. Anoteu els passos de recuperació al registre de canvis, incloent-hi com arribar a l'equip si el camí VPN ha desaparegut. Després proveu la renovació, no només la primera connexió.

La connectivitat activa i la renegociació posterior poden dependre de l'admissió. Un canvi que funciona per a la sessió provada i falla en el següent canvi de clau és un resultat clàssic de substituir l'admissió sense provar la renovació.

Comprovació 5: manteniu la identitat separada de la ubicació

La geolocalització afegeix context a una decisió d'entrada. No estableix qui és l'usuari i no ha de substituir les comprovacions d'identitat de la passarel·la, l'autorització del compte ni l'MFA.

Si el requisit de negoci només és usuaris aprovats des de llocs aprovats, necessiteu tots dos controls. Una regla d'ubicació que admet un país sencer no substitueix l'autenticació, i un usuari autenticat en un país bloquejat és una qüestió de política, no un error.

Comprovació 6: anoteu-ho i verifiqueu tots dos camins

Anoteu el servei, la política d'entrada, l'àmbit d'ubicació previst, les excepcions i el responsable de la recuperació. Després proveu el camí mòbil i almenys un camí de lloc després del canvi, perquè la restricció continuï lligada al servei per al qual es va dissenyar.

Finalment, rellegiu la denegació amb què vau començar. Si ha passat de ser una denegació per ubicació a un fallada d'autenticació o autorització, el problema d'entrada està resolt i ara se'n veu un altre. Guia de WatchGuard sobre denegacions d'IKEv2 és la referència per a l'ordenació d'etapes descrita més amunt.