Odmítnutí geolokace ve Fireboxu: nejprve najděte fázi vstupu VPN

Někdo v jiné zemi se nemůže připojit a prvním instinktem je podívat se na pravidlo, které uděluje přístup k interním zdrojům. To pravidlo běží až po přijetí, takže nemůže být tím, co tunel odmítá. Blokující fáze je někde na vstupní cestě a Firebox má více než jednu vstupní cestu podle služby VPN. Proveďte kontroly v pořadí a zastavte se, jakmile jedna z nich odmítnutí vysvětlí.

Kontrola 1: pojmenujte příchozí službu

U Mobile VPN s SSL, Access Portal a BOVPN přes TLS je příchozím vstupem pravidlo WatchGuard SSLVPN. Použijte zamýšlené omezení tam, na skutečně nakonfigurované službě, místo abyste ho odvozovali z pravidla přístupu uživatele, které běží později.

IPsec jde jinou cestou. Vestavěné pravidlo IPSec povoluje vnější provoz IPsec do Fireboxu pro příslušné branch a mobilní VPN služby a má přednost před ručně vytvořeným pravidlem IPSec. Pokud je váš klient IKEv2, jste na této druhé cestě a pravidlo SSLVPN je nepodstatné.

Chyba tady je nejčastěji promarněné odpoledne v této oblasti: upravovat pravidlo, které paket nikdy nevidí, a pak usoudit, že omezení nefunguje.

Kontrola 2: čtěte odmítnutí, ne teorii

Udělejte jeden kontrolovaný povolený pokus a spojte čtyři věci: veřejnou zdrojovou adresu klienta, vstupní službu, kterou zasáhl, pravidlo, které se shodovalo, a jakýkoli důvod odmítnutí v logu. Návod WatchGuard pro řešení potíží s IKEv2 uvádí, že geolokace a výchozí zpracování paketů mohou odmítnout provoz ještě před přijetím vestavěným pravidlem, což znamená, že odmítnutí, které vidíte, může uvádět fázi, kterou jste nezvažovali.

Klasifikace země sleduje pozorovaný síťový zdroj. Cestující uživatel, NAT výše v síti nebo jiná schválená cesta mohou změnit to, co Firebox vidí, proto potvrďte adresu, ne uživatelův popis, kde se nachází. Vyžádejte si veřejnou adresu, kterou klient vidí, a porovnejte ji se zdrojem v logu Fireboxu. Když se liší, klasifikace sleduje cestu, kterou nikdo nezmínil.

Kontrola 3: je vestavěné pravidlo stále vlastníkem?

Pokud se zdá, že ruční pravidlo IPSec je ignorováno, zkontrolujte, zda je vestavěné stále zapnuté. Ruční pravidlo zastíněné vestavěným pravidlem s vyšší prioritou a ruční pravidlo, které je jediným přijetím, jsou různé konfigurace s podobně vypadajícím rozhraním.

Rozhodněte, které má cestu vlastnit. Pokud je to ruční pravidlo, vestavěné se pro tento provoz musí vypnout, a tam začíná další kontrola.

Kontrola 4: naplánujte náhradu před vypnutím

Vypnutí vestavěného pravidla IPSec odstraní jeho přijetí pro dotčené služby VPN. To zahrnuje branch tunely, na které možná nemyslíte, když opravujete připojení jednoho mobilního uživatele.

Nejprve naplánujte úplnou náhradu: které služby potřebují přijetí, jaké rozsahy zdrojů dostanou a jak budete zařízení spravovat, pokud se změna pokazí. Udržujte otevřenou nezávislou cestu správy a obnovy, protože chyba tady může odstranit tunel, který byste použili k její opravě. Zapište kroky obnovy do záznamu o změně, včetně toho, jak se k zařízení dostat, když cesta VPN zmizí. Potom otestujte obnovení, ne jen první připojení.

Aktivní konektivita i pozdější opětovné vyjednávání mohou záviset na přijetí. Změna, která funguje pro testovanou relaci a selže při další výměně klíčů, je klasickým výsledkem nahrazení přijetí bez otestování obnovení.

Kontrola 5: držte identitu odděleně od polohy

Geolokace dodává vstupnímu rozhodnutí kontext. Neustanovuje, kdo uživatel je, a neměla by nahradit kontroly identity brány, autorizaci účtu ani MFA.

Pokud je obchodní požadavek jen schválení uživatelé ze schválených míst, potřebujete obě kontroly. Pravidlo polohy, které přijímá celou zemi, není náhradou autentizace a autentizovaný uživatel v blokované zemi je otázka politiky, ne chyba.

Kontrola 6: zapište to a ověřte obě cesty

Zapište službu, vstupní pravidlo, zamýšlený rozsah polohy, výjimky a vlastníka obnovy. Potom po změně otestujte mobilní cestu a alespoň jednu cestu na pobočku, aby omezení zůstalo připojené ke službě, pro kterou bylo určeno.

Nakonec si znovu přečtěte odmítnutí, se kterým jste začali. Pokud se změnilo z odmítnutí podle polohy na selhání autentizace nebo autorizace, vstupní problém je vyřešen a nyní je vidět jiný. Návod WatchGuard k odmítnutím IKEv2 je referencí pro výše popsané pořadí fází.