Migrace VPN: licence, funkce a politika v jednom záznamu

Relace, které na starém koncentrátoru stále fungují, vypadají jako důkaz, že migrace je téměř hotová. Jsou ale jednou položkou inventáře, a to tou nejméně zajímavou. Přechod potřebuje záznam, který propojí cílovou bránu, podporovaného klienta, zakoupené oprávnění a vynucenou politiku přijetí do jediného artefaktu, který někdo vlastní. Bez něj je migrace sledem předpokladů, z nichž každý sám o sobě vypadá rozumně.

Čtyři sloupce, ne jeden kontrolní seznam

Co hardware unese, co dovoluje smlouva a co připouští sada pravidel, jsou tři oddělené otázky a jejich mícháním vzniká plán, který nikdo nemůže auditovat. Držte je v oddělených sloupcích a nechte každý uvést svůj zdroj. Zařízení, které přijme připojení, dokazuje, že se zařízení připojit umí, a nevysvětluje nic o rozsahu funkcí ani o základu počítání. Tři sloupce, které si odporují, jsou mnohem užitečnější než jeden odstavec, který zní sebejistě.

Záznam je hotový, když všechny čtyři sloupce vyplní někdo, kdo k tomu má oprávnění. Sloupec podepsaný nesprávným vlastníkem je fáma s datem.

Platforma a oprávnění

Zaznamenejte podporovanou bránu, operační systémy klienta, cestu ověřování a nástroje správy. Neudržujte zastaralého klienta naživu jen proto, že se jeho starý profil ještě otevírá, protože takový profil je tvrzení o kompatibilitě, které dodavatel už nemusí dodržet. Porovnejte aktuální prohlášení o podpoře s vydáním, které plánujete nasadit.

U oprávnění zaznamenejte produkt, typ licence, období a základ počítání a poté je slaďte přes vlastníka účtu. Odvozování práv z historického počítadla relací je způsob, jakým organizace objeví nedostatek po přechodu, a ne před ním.

Objednávací příručky dodavatelů ukazují, proč na těchto rozdílech záleží. Například objednávací příručka Secure Client od Cisco dělí úrovně Advantage, Premier a VPN Only, každou s vlastní mírou a rozsahem funkcí. Použijte aktuální smlouvu, místo abyste mechanicky překládali starý štítek.

Funkce a vynucená politika

Vyjmenujte schopnosti, které nasazení skutečně potřebuje: povolené režimy tunelu, posuzování zařízení, integraci ověřování a jakýkoli další modul. Podporu a oprávnění ověřujte u každé zvlášť, protože funkce může být podporovaná a nelicencovaná, nebo licencovaná a ve zvoleném vydání nepodporovaná. Počítá se jen řádek, který na obě otázky odpovídá ano.

Když je cílem ASA, sloupec funkcí se čte ze samotného zařízení, a ne ze smlouvy, takže bránu zachyťte ještě před dnem přechodu. show vpn-sessiondb summary dává inventář živých relací a počty, proti nimž se měří vaše oprávnění, show vpn-sessiondb detail anyconnect ukazuje, jaký typ klienta a profil každá přiřazená relace skutečně použila, a show running-config webvpn zachycuje konfiguraci brány, na níž tyto relace závisí, a to je jediná část záznamu, kterou žádný licenční dokument nemůže obsahovat.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Po přechodu spusťte stejné tři příkazy na nové bráně a porovnejte je se zachycenými kopiemi. Změna počtu relací se očekává; typ klienta nebo blok webvpn, který se objeví na jedné straně a na druhé ne, je nález a patří do záznamu s vysvětlením, ne do komentáře k tiketu. Uchovejte surové snímky i rozdíly, protože další recenzent bude chtít vidět, co se porovnávalo. U jiného dodavatele je ekvivalentem vlastní tabulka relací a export profilů dané platformy ve formátu, který nebude sedět, takže porovnávejte otázky, které jí kladete, a ne text.

Potom namapujte uživatele a zařízení na pravidla cíle, oprávnění k prostředkům a chování při odmítnutí. Licence, která funkci umožňuje, není konfigurace, která ji vykonává, a právě v mezeře mezi tím oběma žije většina překvapení migrace.

Zapište případy odmítnutí se stejnou péčí jako případy povolené. Plán, který dokazuje jen to, že se administrátor umí připojit, otestoval nejjednodušší cestu a žádnou z hranic.

Přijměte na obou stranách rozhodnutí

Před přechodem spusťte schválený akceptační plán napříč zamýšlenými typy klientů, metodami ověřování a prostředky. Zahrňte zařízení nebo identitu, která musí být odmítnuta, a potvrďte, které pravidlo ji vybralo a kam výsledná relace může dosáhnout. Dohodněte případy zamítnutí dřív, než se otevře změnové okno, aby je nikdo nemohl potichu vypustit pod časovým tlakem. Plán bez jediného případu zamítnutí otestoval šťastnou cestu a nic jiného.

Udržujte cestu zpět a cestu správy, která nezávisí na tom, co migrujete. Bezpečně uchovávejte konfiguraci a záznamy identit a zastaralá kryptografická nastavení nechte za sebou, místo abyste je přenášeli dál. Nikdy nevkládejte identifikátory licencí ani uživatelské záznamy do veřejných poznámek.

Nechte vlastníka podepsat oprávnění a mapování politiky společně. Hotový záznam odpovídá na dvě otázky najednou: co je organizace oprávněna nasadit a která pravidla její uživatele skutečně přijímají a omezují.