Starší SSL VPN v IOS: balíček, profil, brána a relace

V flash paměti routeru najdete instalátor klienta a usoudíte, že je SSL VPN nakonfigurovaná. To je jedna část ze čtyř a zbývající tři rozhodují o tom, zda se vůbec někdo připojí. U staršího IOS SSL VPN jsou jednotlivé díly samostatné objekty: klientský balíček pro headend, volitelný klientský profil, brána WebVPN, která ukončuje TLS, a kontext spolu se skupinovou politikou, které drží nastavení ověřování a relace. Když jeden vynecháte, porucha navenek vypadá pořád stejně.

Konfigurační příklad Cisco IOS SSL VPN postavený na IOS 15.3 s AnyConnect 3.1 je užitečný právě proto, že tyto objekty drží oddělené. Čtěte ho jako popis oné starší implementace, ne jako doporučení tyto verze nasazovat.

Za prvé balíček: co to je a co to není

Balíček pro headend dodává klientský software pro jednu platformu. Není to ani profil, ani naslouchací bod a soubor ležící ve flash paměti dokazuje jen to, že někdo něco nahrál. Nedokazuje, že ho nějaká relace vůbec použila, že platforma odpovídá zařízení uživatele, ani že na něj brána vůbec odkazuje.

Ověřte přesný název souboru, platformu, pro kterou je určen, a místo, kam na něj konfigurace ukazuje. Balíček pro Windows vám o telefonech neřekne nic a nahraný soubor, který žádný objekt brány nezmiňuje, je úložiště, nikoli konfigurace. Balíček, který platformě odpovídá, ale není nikdy přiřazen ke službě, nebude nabídnut žádnému uživateli. Stejně tak balíček, jehož název se liší od hodnoty, kterou konfigurace očekává.

Za druhé profil: nastavení, ne software

Volitelný klientský profil nese nastavení, která správce připravuje zvlášť, například seznamy serverů nebo předvolby klienta. Zaměnit ho s instalátorem je běžné, protože obojí přichází jako soubory s podobnými názvy. Pokud nasazení profil očekává, jeho nepřítomnost mění to, co klient dělá po připojení, nikoli to, zda se připojí vůbec.

Zmapujte oba artefakty a zaznamenejte, na který z nich brána skutečně odkazuje. Ten jediný řádek zabrání celé třídě tiketů podpory, kdy dva lidé mluví o různých souborech.

Za třetí naslouchací bod a identita TLS

Objekt brány definuje adresu a port, na které se dostane vnější svět, a certifikát předložený během handshake. Prohlížeč, který se dostane na stránku portálu, klient dokončující ověřování a aplikace, která se dostane na soukromý server, jsou tři samostatná pozorování a jen to první je test naslouchacího bodu. Když handshake selže, nic dalšího ještě nehraje roli, takže před úpravou jakékoli politiky ověřte řetěz certifikátů a jméno.

Zapište očekávanou identitu někam. Obnovený nebo vyměněný certifikát je nejčastějším důvodem, proč nasazení, které fungovalo minulý měsíc, přestane fungovat tento.

Za čtvrté kontext a politika s virtuální šablonou

Kontext a skupinová politika vážou ověřování na chování relace: fond adres, rozdělené trasy, DNS a to, do kterých interních sítí se uživatel může dostat. Dokumentovaný příklad připojuje svůj kontext k virtuální šabloně, která dodává chování rozhraní pro každou relaci, a tyto objekty na straně serveru existují nezávisle na čemkoli, co si uživatel stáhne.

Když se uživatel ověří, ale na nic se nedostane, chyba obvykle sedí tady, nikoli v klientovi. Porovnejte fond, trasy předané klientovi a ACL, které povoluje další provoz, a ověřte je proti tomu, co uživatel hlásí, nikoli proti tomu, co zamýšlel návrh.

Ověřujte v pořadí a u prvního selhání se zastavte

Projděte čtyři komponenty v pořadí, v jakém je spojení potkává: naslouchací bod, ověřování, politika a pak chování klienta. Ověřte TLS s očekávanou identitou, přihlaste známý funkční účet, přečtěte z relace přidělenou adresu a trasy a teprve potom porovnejte platformu klienta s balíčkem. Zastavení u prvního selhání drží ve hře jedinou proměnnou, a to je rozdíl mezi opravou a hádáním.

Pro telefon nebo jakéhokoli klienta mimo tento historický desktopový příklad si opatřete skutečnou podporovanou smlouvu mezi klientem a bránou, místo abyste předpokládali, že se pracovní postup pro Windows zobecní. Změna požadovaného protokolu nepřemění profil IKEv2 v tuto službu SSL VPN a instalace desktopového balíčku nedokazuje nic o podpoře mobilních zařízení.