Παλαιό SSL VPN σε IOS: πακέτο, προφίλ, πύλη και συνεδρία

Βρίσκετε έναν εγκαταστάτη πελάτη στο flash του δρομολογητή και συμπεραίνετε ότι το SSL VPN έχει ρυθμιστεί. Αυτό είναι ένα συστατικό από τα τέσσερα, και τα υπόλοιπα τρία καθορίζουν αν μπορεί να συνδεθεί κανείς. Στο παλαιό IOS SSL VPN τα μέρη είναι ξεχωριστά αντικείμενα: το πακέτο πελάτη κεφαλής, ένα προαιρετικό προφίλ πελάτη, η πύλη WebVPN που τερματίζει το TLS, και το περιβάλλον μαζί με την πολιτική ομάδας που κρατούν τις ρυθμίσεις ελέγχου ταυτότητας και συνεδρίας. Αν λείπει ένα, η αποτυχία φαίνεται ίδια από έξω.

Το παράδειγμα ρύθμισης IOS SSL VPN της Cisco, χτισμένο σε IOS 15.3 με AnyConnect 3.1, είναι χρήσιμο ακριβώς επειδή κρατά αυτά τα αντικείμενα χωριστά. Διαβάστε το ως περιγραφή εκείνης της παλαιότερης υλοποίησης, όχι ως σύσταση να αναπτύξετε αυτές τις εκδόσεις.

Πρώτο, το πακέτο: τι είναι και τι δεν είναι

Το πακέτο κεφαλής παρέχει λογισμικό πελάτη για μία πλατφόρμα. Δεν είναι ούτε το προφίλ ούτε ο ακροατής, και ένα αρχείο που κάθεται στο flash αποδεικνύει μόνο ότι κάποιος ανέβασε κάτι. Δεν αποδεικνύει ότι μια συνεδρία το χρησιμοποίησε ποτέ, ότι η πλατφόρμα ταιριάζει με τη συσκευή του χρήστη, ούτε ότι η πύλη παραπέμπει σε αυτό καθόλου.

Επιβεβαιώστε το ακριβές όνομα αρχείου, την πλατφόρμα στην οποία στοχεύει και πού δείχνει η ρύθμιση. Ένα πακέτο Windows δεν σας λέει τίποτα για τηλέφωνα, και ένα ανεβασμένο αρχείο που κανένα αντικείμενο πύλης δεν αναφέρει είναι αποθήκευση και όχι ρύθμιση. Ένα πακέτο που ταιριάζει με την πλατφόρμα αλλά δεν συσχετίζεται ποτέ με την υπηρεσία δεν θα προσφερθεί σε κανέναν χρήστη. Ούτε ένα του οποίου το όνομα αρχείου διαφέρει από την τιμή που περιμένει η ρύθμιση.

Δεύτερο, το προφίλ: ρυθμίσεις και όχι λογισμικό

Ένα προαιρετικό προφίλ πελάτη μεταφέρει ρυθμίσεις που προετοιμάζει ξεχωριστά ένας διαχειριστής, όπως λίστες διακομιστών ή προτιμήσεις πελάτη. Η σύγχυσή του με εγκαταστάτη είναι συχνή επειδή και τα δύο φτάνουν ως αρχεία με παρόμοια ονόματα. Αν η ανάπτυξη περιμένει προφίλ, η απουσία του αλλάζει το τι κάνει ο πελάτης μετά τη σύνδεση και όχι αν συνδέεται καθόλου.

Καταγράψτε και τα δύο τεχνουργήματα και σημειώστε σε ποιο παραπέμπει πραγματικά η πύλη. Αυτή η μία γραμμή αποτρέπει μια ολόκληρη κατηγορία αιτημάτων υποστήριξης όπου δύο άνθρωποι συζητούν διαφορετικά αρχεία.

Τρίτο, ο ακροατής και η ταυτότητα TLS

Το αντικείμενο πύλης ορίζει τη διεύθυνση και τη θύρα που φτάνει ο έξω κόσμος και το πιστοποιητικό που παρουσιάζεται κατά τη χειραψία. Ένας περιηγητής που φτάνει σε σελίδα πύλης, ένας πελάτης που ολοκληρώνει τον έλεγχο ταυτότητας και μια εφαρμογή που φτάνει σε ιδιωτικό διακομιστή είναι τρεις ξεχωριστές παρατηρήσεις, και μόνο η πρώτη είναι δοκιμή ακροατή. Όταν η χειραψία αποτυγχάνει, τίποτα πιο κάτω δεν μετρά ακόμη, οπότε επαληθεύστε την αλυσίδα πιστοποιητικών και το όνομα πριν επεξεργαστείτε οποιαδήποτε πολιτική.

Γράψτε την αναμενόμενη ταυτότητα κάπου. Ένα ανανεωμένο ή αντικατεστημένο πιστοποιητικό είναι ο συχνότερος λόγος που μια ανάπτυξη που δούλευε τον περασμένο μήνα σταματά να δουλεύει αυτόν.

Τέταρτο, το περιβάλλον και η πολιτική με το εικονικό της πρότυπο

Το περιβάλλον και η πολιτική ομάδας δένουν τον έλεγχο ταυτότητας με τη συμπεριφορά της συνεδρίας: δεξαμενή διευθύνσεων, διαχωρισμένες διαδρομές, DNS και ποια εσωτερικά δίκτυα μπορεί να φτάσει ένας χρήστης. Το τεκμηριωμένο παράδειγμα συνδέει το περιβάλλον του σε ένα εικονικό πρότυπο που παρέχει συμπεριφορά διεπαφής ανά συνεδρία, και αυτά τα αντικείμενα στην πλευρά του διακομιστή υπάρχουν ανεξάρτητα από οτιδήποτε κατεβάζει ένας χρήστης.

Όταν ένας χρήστης ταυτοποιείται αλλά δεν φτάνει πουθενά, το σφάλμα συνήθως βρίσκεται εδώ και όχι στον πελάτη. Συγκρίνετε τη δεξαμενή, τις διαδρομές που δίνονται στον πελάτη και την ACL που επιτρέπει την περαιτέρω κίνηση, και ελέγξτε τα με ό,τι αναφέρει ο χρήστης και όχι με ό,τι είχε σχεδιάσει η αρχιτεκτονική.

Επαληθεύστε με τη σειρά και σταματήστε στην πρώτη αποτυχία

Διατρέξτε τα τέσσερα συστατικά με τη σειρά που τα συναντά μια σύνδεση: ακροατής, έλεγχος ταυτότητας, πολιτική και μετά συμπεριφορά πελάτη. Επιβεβαιώστε το TLS με την αναμενόμενη ταυτότητα, ταυτοποιήστε έναν λογαριασμό γνωστό ως καλό, διαβάστε τη διεύθυνση και τις διαδρομές που εκχωρήθηκαν από τη συνεδρία, και μόνο μετά συγκρίνετε την πλατφόρμα του πελάτη με το πακέτο. Το σταμάτημα στην πρώτη αποτυχία κρατά μία μόνο μεταβλητή στο παιχνίδι, και αυτή είναι η διαφορά ανάμεσα σε επισκευή και εικασία.

Για ένα τηλέφωνο ή οποιονδήποτε πελάτη έξω από εκείνο το ιστορικό παράδειγμα επιφάνειας εργασίας, προμηθευτείτε το πραγματικά υποστηριζόμενο συμβόλαιο πελάτη και πύλης αντί να υποθέσετε ότι η ροή εργασίας των Windows γενικεύεται. Η αλλαγή ενός ζητούμενου πρωτοκόλλου δεν μετατρέπει ένα προφίλ IKEv2 σε αυτή την υπηρεσία SSL VPN, και η εγκατάσταση πακέτου επιφάνειας εργασίας δεν αποδεικνύει τίποτα για υποστήριξη κινητών.