Hen SSL VPN IOS: pecyn, proffil, porth a sesiwn

Rydych chi'n dod o hyd i osodwr cleient ar fflach y llwybrydd ac yn casglu bod y SSL VPN wedi'i ffurfweddu. Dyna un rhan o bedair, a'r tair arall sy'n penderfynu a all unrhyw un gysylltu. Ar yr hen SSL VPN IOS mae'r darnau'n wrthrychau ar wahân: y pecyn cleient pen-draw, proffil cleient dewisol, y porth WebVPN sy'n terfynu TLS, a'r cyd-destun ynghyd a pholisi grŵp sy'n dal y gosodiadau dilysu a sesiwn. Os collwch un, mae'r methiant yn edrych yr un fath o'r tu allan.

Mae enghraifft ffurfweddu SSL VPN Cisco IOS, wedi'i hadeiladu ar IOS 15.3 gydag AnyConnect 3.1, yn ddefnyddiol yn union am ei bod yn cadw'r gwrthrychau hynny ar wahân. Darllenwch hi fel disgrifiad o'r hen weithrediad hwnnw, nid fel argymhelliad i ddefnyddio'r fersiynau hynny.

Yn gyntaf, y pecyn: beth ydyw a beth nad ydyw

Mae'r pecyn pen-draw yn darparu meddalwedd cleient ar gyfer un llwyfan. Nid yw na'r proffil na'r gwrandawr, ac mae ffeil yn eistedd yn y fflach yn profi dim ond bod rhywun wedi llwytho rhywbeth i fyny. Nid yw'n profi bod sesiwn erioed wedi'i defnyddio, bod y llwyfan yn cyd-fynd a dyfais y defnyddiwr, na bod y porth yn cyfeirio ati o gwbl.

Gwiriwch yr enw ffeil union, y llwyfan y mae'n ei dargedu a ble mae'r ffurfweddiad yn cyfeirio ato. Nid yw pecyn Windows yn dweud dim wrthych am ffonau, ac mae ffeil a lwythwyd i fyny nad oes unrhyw wrthrych porth yn son amdani yn storfa yn hytrach na ffurfweddiad. Ni chynigir pecyn sy'n cyd-fynd a'r llwyfan ond sydd byth yn gysylltiedig a'r gwasanaeth i unrhyw ddefnyddiwr. Na'r un y mae ei enw ffeil yn wahanol i'r gwerth y mae'r ffurfweddiad yn ei ddisgwyl.

Yn ail, y proffil: gosodiadau yn hytrach na meddalwedd

Mae proffil cleient dewisol yn cario gosodiadau y mae gweinyddwr yn eu paratoi ar wahân, fel rhestrau gweinyddion neu ddewisiadau cleient. Mae ei gymysgu a gosodwr yn gyffredin oherwydd bod y ddau yn dod fel ffeiliau ag enwau tebyg. Os yw'r defnydd yn disgwyl proffil, mae ei absenoldeb yn newid yr hyn y mae'r cleient yn ei wneud ar ôl cysylltu yn hytrach nag a yw'n cysylltu o gwbl.

Rhestrwch y ddwy eitem a chofnodwch at y naill y mae'r porth yn cyfeirio mewn gwirionedd. Mae'r un llinell honno yn atal dosbarth cyfan o docynnau cymorth lle mae dau berson yn trafod ffeiliau gwahanol.

Yn drydydd, y gwrandawr a'r hunaniaeth TLS

Mae gwrthrych y porth yn diffinio'r cyfeiriad a'r porthladd y mae'r byd allanol yn eu cyrraedd a'r dystysgrif a gyflwynir yn ystod y gafael a llaw. Mae porwr yn cyrraedd tudalen porth, cleient yn cwblhau dilysu, a rhaglen yn cyrraedd gweinydd preifat yn dri arsylwad ar wahân, a dim ond y cyntaf sy'n brawf gwrandawr. Pan fydd y gafael a llaw yn methu, nid oes dim i lawr yr afon yn cyfrif eto, felly gwiriwch y gadwyn dystysgrif a'r enw cyn newid unrhyw bolisi.

Ysgrifennwch yr hunaniaeth a ddisgwylir i lawr yn rhywle. Tystysgrif wedi'i hadnewyddu neu wedi'i disodli yw'r rheswm amlaf pam mae defnydd a weithiodd y mis diwethaf yn stopio gweithio y mis hwn.

Yn bedwerydd, y cyd-destun a'r polisi gyda'i dempled rhithwir

Mae'r cyd-destun a pholisi grŵp yn clymu dilysu wrth ymddygiad sesiwn: cronfa gyfeiriadau, llwybrau hollt, DNS, a pha rwydweithiau mewnol y caiff defnyddiwr eu cyrraedd. Mae'r enghraifft a ddogfenwyd yn cysylltu ei chyd-destun wrth dempled rhithwir sy'n darparu ymddygiad rhyngwyneb fesul sesiwn, ac mae'r gwrthrychau ochr gweinydd hynny'n bodoli'n annibynnol ar unrhyw beth y mae defnyddiwr yn ei lwytho i lawr.

Pan fydd defnyddiwr yn dilysu ond yn cyrraedd dim, mae'r bai fel arfer yn gorwedd yma yn hytrach nag yn y cleient. Cymharwch y gronfa, y llwybrau a roddir i'r cleient a'r ACL sy'n caniatau traffig ymlaen, a'u gwirio yn erbyn yr hyn y mae'r defnyddiwr yn ei adrodd yn hytrach nag yn erbyn yr hyn y bwriadwyd gan y dyluniad.

Gwiriwch yn nhrefn a stopiwch wrth y methiant cyntaf

Cerddwch y pedwar darn yn y drefn y mae cysylltiad yn eu cyfarfod: gwrandawr, dilysu, polisi, yna ymddygiad y cleient. Cadarnhewch TLS gyda'r hunaniaeth a ddisgwylir, dilyswch gyfrif hysbys dda, darllenwch y cyfeiriad a'r llwybrau a bennwyd o'r sesiwn, a dim ond wedyn cymharwch lwyfan y cleient a'r pecyn. Stopio wrth y methiant cyntaf sy'n cadw un newidyn yn chwarae, a dyna'r gwahaniaeth rhwng trwsio a dyfalu.

Ar gyfer ffôn neu unrhyw gleient y tu allan i'r enghraifft hanesyddol hon o lwyfan bwrdd gwaith, ceisiwch y contract cleient a phorth cefnogol go iawn yn lle tybio bod y llif gwaith Windows yn cyffredinoli. Ni fydd newid protocol y gofynnwyd amdano yn troi proffil IKEv2 yn wasanaeth SSL VPN hwn, ac nid yw gosod pecyn bwrdd gwaith yn profi dim am gefnogaeth symudol.