Ældre IOS SSL VPN: pakke, profil, gateway og session

Du finder en klientinstallationsfil på routerens flash og konkluderer, at SSL VPN er konfigureret. Det er én ud af fire komponenter, og de tre andre afgør, om nogen overhovedet kan forbinde. På ældre IOS SSL VPN er delene forskellige objekter: headend-klientpakken, en valgfri klientprofil, WebVPN-gatewayen, der afslutter TLS, og konteksten plus gruppepolitikken, der holder godkendelses- og sessionsindstillingerne. Mangler man én, ser fejlen ens ud udefra.

Ciscos IOS SSL VPN-konfigurationseksempel, bygget på IOS 15.3 med AnyConnect 3.1, er nyttigt netop fordi det holder de objekter adskilt. Læs det som en beskrivelse af den ældre implementering, ikke som en anbefaling om at udrulle de versioner.

Først pakken: hvad den er, og hvad den ikke er

Headend-pakken leverer klientsoftware til én platform. Den er hverken profilen eller lytteren, og en fil, der ligger på flash beviser kun, at nogen har uploadet noget. Den beviser ikke, at en session nogensinde har brugt den, at platformen passer til brugerens enhed, eller at gatewayen overhovedet refererer til den.

Bekræft det præcise filnavn, den platform den er målrettet, og hvor konfigurationen peger på den. En Windows-pakke siger intet om telefoner, og en uploadet fil, som ingen gateway-objekt nævner, er lager snarere end konfiguration. En pakke, der passer til platformen, men aldrig knyttes til tjenesten, bliver ikke tilbudt nogen bruger. Det samme gælder en pakke, hvis filnavn afviger fra den værdi, som konfigurationen forventer.

Dernæst profilen: indstillinger i stedet for software

En valgfri klientprofil bærer indstillinger, som en administrator forbereder separat, for eksempel serverlister eller klientpræferencer. Det er almindeligt at forveksle den med en installationsfil, fordi begge kommer som filer med lignende navne. Hvis udrulningen forventer en profil, ændrer dens fravær, hvad klienten gør efter forbindelsen, snarere end om den overhovedet forbinder.

Optæl begge artefakter, og notér, hvilken af dem gatewayen faktisk refererer til. Den ene linje forhindrer en hel klasse af supportbilletter, hvor to personer taler om forskellige filer.

Tredje: lytteren og TLS-identiteten

Gateway-objektet definerer den adresse og port, som omverdenen når, og det certifikat, der præsenteres under håndtrykket. En browser, der når en portalside, en klient, der fuldfører godkendelsen, og et program, der når en privat server, er tre separate observationer, og kun den første er en lyttertest. Når håndtrykket fejler, betyder intet længere nede noget endnu, så bekræft certifikatkæden og navnet, før du redigerer nogen politik.

Skriv den forventede identitet ned et sted. Et fornyet eller udskiftet certifikat er den hyppigste grund til, at en udrulning, der virkede i sidste måned, holder op med at virke i denne.

Fjerde: konteksten og politikken med dens virtuelle skabelon

Konteksten og gruppepolitikken binder godkendelse til sessionsadfærd: adressepulje, opdelte ruter, DNS og hvilke interne netværk en bruger må nå. Det dokumenterede eksempel knytter sin kontekst til en virtuel skabelon, der leverer grænsefladeadfærd for hver session, og de server-side objekter findes uafhængigt af alt, hvad en bruger downloader.

Når en bruger godkendes, men ikke når noget, ligger fejlen normalt her snarere end i klienten. Sammenlign puljen, de ruter der gives til klienten, og den ACL, der tillader videre trafik, og hold dem op mod det, brugeren rapporterer, snarere end det, designet havde tænkt.

Kontrollér i rækkefølge, og stop ved den første fejl

Gå gennem de fire komponenter i den rækkefølge, en forbindelse møder dem: lytter, godkendelse, politik og derefter klientadfærd. Bekræft TLS med den forventede identitet, godkend en konto, der vides at virke, læs den tildelte adresse og de tildelte ruter fra sessionen, og sammenlign først derefter klientens platform med pakken. At stoppe ved den første fejl holder én enkelt variabel i spil, og det er forskellen på en reparation og et gæt.

Til en telefon eller enhver klient uden for det historiske skrivebordseksempel skal du skaffe den reelt understøttede kontrakt mellem klient og gateway i stedet for at antage, at Windows-arbejdsgangen kan generaliseres. At ændre en anmodet protokol gør ikke en IKEv2-profil til denne SSL VPN-tjeneste, og installation af en skrivebordspakke beviser intet om mobil support.