Απόρριψη γεωεντοπισμού στο Firebox: βρείτε πρώτα το στάδιο εισόδου VPN

Κάποιος σε άλλη χώρα δεν μπορεί να συνδεθεί, και η πρώτη αντίδραση είναι να κοιτάξει κανείς τον κανόνα που δίνει πρόσβαση σε εσωτερικούς πόρους. Ο κανόνας αυτός εκτελείται μετά την αποδοχή, άρα δεν μπορεί να είναι αυτό που απορρίπτει τη σήραγγα. Το στάδιο που μπλοκάρει βρίσκεται κάπου στη διαδρομή εισόδου, και το Firebox έχει περισσότερες από μία διαδρομές εισόδου ανάλογα με την υπηρεσία VPN. Εκτελέστε τους ελέγχους με τη σειρά και σταματήστε μόλις ένας από αυτούς εξηγήσει την απόρριψη.

Έλεγχος 1: ονομάστε την εισερχόμενη υπηρεσία

Για το Mobile VPN με SSL, το Access Portal και το BOVPN over TLS, η εισερχόμενη είσοδος είναι η πολιτική WatchGuard SSLVPN. Εφαρμόστε τον επιδιωκόμενο περιορισμό εκεί, στην πραγματικά ρυθμισμένη υπηρεσία, αντί να τον συνάγετε από κανόνα πρόσβασης χρήστη που εκτελείται αργότερα.

Το IPsec ακολουθεί διαφορετική διαδρομή. Η ενσωματωμένη πολιτική IPSec επιτρέπει εξωτερική κίνηση IPsec προς το Firebox για τις σχετικές υπηρεσίες branch και κινητού VPN, και υπερισχύει μιας χειροκίνητα δημιουργημένης πολιτικής IPSec. Αν ο πελάτης σας είναι IKEv2, βρίσκεστε σε αυτή τη δεύτερη διαδρομή, και η πολιτική SSLVPN είναι άσχετη.

Το λάθος εδώ είναι το πιο συνηθισμένο χαμένο απόγευμα σε αυτόν τον τομέα: να επεξεργάζεστε πολιτική που δεν βλέπει ποτέ το πακέτο και μετά να συμπεραίνετε ότι ο περιορισμός δεν λειτουργεί.

Έλεγχος 2: διαβάστε την απόρριψη, όχι τη θεωρία

Κάντε μία ελεγχόμενη επιτρεπόμενη απόπειρα και συσχετίστε τέσσερα πράγματα: τη δημόσια διεύθυνση προέλευσης του πελάτη, την υπηρεσία εισόδου που χτύπησε, την πολιτική που ταίριαξε και οποιονδήποτε λόγο απόρριψης στο αρχείο καταγραφής. Η καθοδήγηση αντιμετώπισης προβλημάτων IKEv2 της WatchGuard σημειώνει ότι ο γεωεντοπισμός και η προεπιλεγμένη διαχείριση πακέτων μπορούν να απορρίψουν κίνηση πριν από την αποδοχή της ενσωματωμένης πολιτικής, που σημαίνει ότι η απόρριψη που βλέπετε μπορεί να αναφέρει στάδιο που δεν έχετε εξετάσει.

Η ταξινόμηση χώρας ακολουθεί την παρατηρούμενη πηγή δικτύου. Περιοδεύων χρήστης, NAT ανάντη ή διαφορετική εγκεκριμένη διαδρομή μπορούν να αλλάξουν αυτό που βλέπει το Firebox, οπότε επιβεβαιώστε τη διεύθυνση και όχι την περιγραφή του χρήστη για το πού βρίσκεται. Ζητήστε τη δημόσια διεύθυνση που βλέπει ο πελάτης και συγκρίνετέ την με την πηγή στο αρχείο καταγραφής του Firebox. Όταν διαφέρουν, η ταξινόμηση ακολουθεί διαδρομή που κανείς δεν ανέφερε.

Έλεγχος 3: είναι ακόμη η ενσωματωμένη πολιτική ο ιδιοκτήτης;

Αν μια χειροκίνητη πολιτική IPSec φαίνεται να αγνοείται, ελέγξτε αν η ενσωματωμένη είναι ακόμη ενεργοποιημένη. Ένας χειροκίνητος κανόνας που επισκιάζεται από ενσωματωμένο κανόνα υψηλότερης προτεραιότητας και ένας χειροκίνητος κανόνας που είναι η μόνη αποδοχή είναι διαφορετικές ρυθμίσεις με παρόμοια εμφάνιση στη διεπαφή.

Αποφασίστε ποια θέλετε να κατέχει τη διαδρομή. Αν είναι η χειροκίνητη πολιτική, η ενσωματωμένη πρέπει να απενεργοποιηθεί για αυτή την κίνηση, και εκεί αρχίζει ο επόμενος έλεγχος.

Έλεγχος 4: σχεδιάστε την αντικατάσταση πριν απενεργοποιήσετε

Η απενεργοποίηση της ενσωματωμένης πολιτικής IPSec αφαιρεί την αποδοχή της για τις επηρεαζόμενες υπηρεσίες VPN. Αυτό περιλαμβάνει σήραγγες branch που μπορεί να μην σκέφτεστε όσο διορθώνετε τη σύνδεση ενός κινητού χρήστη.

Σχεδιάστε πρώτα την πλήρη αντικατάσταση: ποιες υπηρεσίες χρειάζονται αποδοχή, ποιες περιοχές προέλευσης παίρνουν και πώς θα διαχειρίζεστε τη συσκευή αν η αλλαγή πάει στραβά. Κρατήστε ανοιχτή μια ανεξάρτητη διαδρομή διαχείρισης και ανάκτησης, γιατί ένα λάθος εδώ μπορεί να αφαιρέσει τη σήραγγα που θα χρησιμοποιούσατε για να το διορθώσετε. Καταγράψτε τα βήματα ανάκτησης στο αρχείο αλλαγής, μαζί με το πώς θα φτάσετε στη συσκευή αν η διαδρομή VPN έχει χαθεί. Έπειτα δοκιμάστε την ανανέωση, όχι μόνο την πρώτη σύνδεση.

Η ενεργή συνδεσιμότητα και η μεταγενέστερη επαναδιαπραγμάτευση μπορούν να εξαρτώνται και οι δύο από την αποδοχή. Μια αλλαγή που λειτουργεί για τη συνεδρία που δοκιμάσατε και αποτυγχάνει στην επόμενη αλλαγή κλειδιού είναι κλασικό αποτέλεσμα αντικατάστασης της αποδοχής χωρίς δοκιμή της ανανέωσης.

Έλεγχος 5: κρατήστε την ταυτότητα χωριστά από την τοποθεσία

Ο γεωεντοπισμός προσθέτει πλαίσιο σε μια απόφαση εισόδου. Δεν καθορίζει ποιος είναι ο χρήστης και δεν πρέπει να αντικαθιστά τους ελέγχους ταυτότητας της πύλης, την εξουσιοδότηση λογαριασμού ή το MFA.

Αν η επιχειρηματική απαίτηση είναι μόνο εγκεκριμένοι χρήστες από εγκεκριμένα μέρη, χρειάζεστε και τους δύο ελέγχους. Ένας κανόνας τοποθεσίας που δέχεται ολόκληρη χώρα δεν υποκαθιστά την αυθεντικοποίηση, και ένας αυθεντικοποιημένος χρήστης σε αποκλεισμένη χώρα είναι ζήτημα πολιτικής, όχι σφάλμα.

Έλεγχος 6: καταγράψτε το και επαληθεύστε και τις δύο διαδρομές

Καταγράψτε την υπηρεσία, την πολιτική εισόδου, το επιδιωκόμενο εύρος τοποθεσίας, τις εξαιρέσεις και τον υπεύθυνο ανάκτησης. Έπειτα δοκιμάστε την κινητή διαδρομή και τουλάχιστον μία διαδρομή τοποθεσίας μετά την αλλαγή, ώστε ο περιορισμός να παραμένει συνδεδεμένος με την υπηρεσία για την οποία σχεδιάστηκε.

Τέλος, ξαναδιαβάστε την απόρριψη με την οποία ξεκινήσατε. Αν έχει αλλάξει από απόρριψη τοποθεσίας σε αποτυχία αυθεντικοποίησης ή εξουσιοδότησης, το πρόβλημα εισόδου έχει λυθεί και τώρα φαίνεται ένα άλλο. Το Καθοδήγηση της WatchGuard για απορρίψεις IKEv2 είναι η αναφορά για τη σειρά σταδίων που περιγράφεται παραπάνω.