IOS SSL VPN antic: paquet, perfil, passarel·la i sessió

Trobeu un instal·lador de client a la memòria flaix del router i concloeu que SSL VPN està configurada. És un component de quatre, i els tres restants decideixen si algú es pot connectar. A l’SSL VPN antic d’IOS les peces són objectes diferents: el paquet de client del capçal, un perfil de client opcional, la passarel·la WebVPN que acaba TLS, i el context més la política de grup que guarden l’autenticació i els paràmetres de sessió. Si en falta un, la fallada sembla la mateixa des de fora.

L’exemple de configuració d’SSL VPN d’IOS de Cisco, construït sobre IOS 15.3 amb AnyConnect 3.1, és útil precisament perquè manté aquests objectes separats. Llegiu-lo com una descripció d’aquella implementació més antiga, no com una recomanació de desplegar aquelles versions.

Primer, el paquet: què és i què no és

El paquet del capçal forneix programari de client per a una plataforma. No és ni el perfil ni l’oient, i un fitxer que reposa a la memòria flaix només demostra que algú va pujar alguna cosa. No demostra que cap sessió l’hagi fet servir mai, que la plataforma coincideixi amb el dispositiu de l’usuari ni que la passarel·la hi faci referència.

Confirmeu el nom exacte del fitxer, la plataforma a què es dirigeix i on hi apunta la configuració. Un paquet de Windows no us diu res sobre telèfons, i un fitxer pujat que cap objecte de passarel·la esmenta és emmagatzematge, no configuració. Un paquet que coincideix amb la plataforma però que mai no s’associa amb el servei no s’oferirà a cap usuari. Ni tampoc un el nom del qual difereixi del valor que la configuració espera.

Segon, el perfil: paràmetres, no programari

Un perfil de client opcional porta paràmetres que un administrador prepara a part, com ara llistes de servidors o preferències del client. Confondre’l amb un instal·lador és habitual perquè tots dos arriben com a fitxers amb noms semblants. Si el desplegament espera un perfil, la seva absència canvia què fa el client després de connectar-se, no si s’hi connecta.

Inventarieu els dos artefactes i anoteu a quin fa referència realment la passarel·la. Aquesta sola línia evita una classe de tiquets de suport on dues persones parlen de fitxers diferents.

Tercer, l’oient i la identitat TLS

L’objecte de passarel·la defineix l’adreça i el port on arriba el món exterior i el certificat que es presenta durant l’apretada de mans. Un navegador que arriba a una pàgina de portal, un client que completa l’autenticació i una aplicació que arriba a un servidor privat són tres observacions separades, i només la primera és una prova de l’oient. Quan l’apretada de mans falla, res de més avall encara no importa, així que verifiqueu la cadena de certificats i el nom abans d’editar cap política.

Escriviu la identitat esperada en algun lloc. Un certificat renovat o substituït és el motiu més freqüent que un desplegament que funcionava el mes passat deixi de funcionar aquest.

Quart, el context i la política amb la seva plantilla virtual

El context i la política de grup lliguen l’autenticació al comportament de la sessió: el conjunt d’adreces, les rutes dividides, el DNS i quines xarxes internes pot assolir un usuari. L’exemple documentat adjunta el seu context a una plantilla virtual que forneix el comportament de la interfície per sessió, i aquests objectes del costat del servidor existeixen independentment de qualsevol cosa que un usuari baixi.

Quan un usuari s’autentica però no arriba enlloc, la culpa sol ser aquí i no al client. Compareu el conjunt, les rutes lliurades al client i l’ACL que permet el trànsit posterior, i comproveu-los contra el que l’usuari informa i no contra el que el disseny pretenia.

Verifiqueu per ordre i atureu-vos a la primera fallada

Recorreu els quatre components en l’ordre en què una connexió els troba: oient, autenticació, política i, després, comportament del client. Confirmeu TLS amb la identitat esperada, autentiqueu un compte de confiança, llegiu l’adreça i les rutes assignades de la sessió i només després compareu la plataforma del client amb el paquet. Aturar-se a la primera fallada manté una sola variable en joc, i això és la diferència entre una reparació i una conjectura.

Per a un telèfon o qualsevol client fora d’aquell exemple històric d’escriptori, obteniu el contracte real de client i passarel·la suportat en lloc de suposar que el flux de Windows es generalitza. Canviar un protocol sol·licitat no convertirà un perfil IKEv2 en aquest servei SSL VPN, i instal·lar un paquet d’escriptori no demostra res sobre el suport mòbil.