Μετεγκατάσταση VPN: άδειες, δυνατότητες και πολιτική σε ένα αρχείο

Οι συνεδρίες που εξακολουθούν να λειτουργούν στον παλιό συγκεντρωτή μοιάζουν με απόδειξη ότι η μετεγκατάσταση έχει σχεδόν ολοκληρωθεί. Είναι όμως ένα μόνο στοιχείο απογραφής, και το λιγότερο ενδιαφέρον. Αυτό που χρειάζεται η μετάβαση είναι ένα αρχείο που συνδέει την πύλη-στόχο, τον υποστηριζόμενο πελάτη, το αγορασμένο δικαίωμα και την εφαρμοζόμενη πολιτική εισδοχής σε ένα ενιαίο τεκμήριο που κάποιος το κατέχει. Χωρίς αυτό, η μετεγκατάσταση είναι μια σειρά υποθέσεων που καθεμία φαίνεται λογική μόνη της.

Τέσσερις στήλες, όχι μία λίστα ελέγχου

Τι μπορεί να σηκώσει το υλικό, τι επιτρέπει το συμβόλαιο και τι παραχωρεί το σύνολο κανόνων είναι τρία ξεχωριστά ερωτήματα, και η ανάμειξή τους παράγει ένα σχέδιο που κανείς δεν μπορεί να ελέγξει. Κρατήστε τα σε ξεχωριστές στήλες και απαιτήστε από την καθεμία να αναφέρει την πηγή της. Μια συσκευή που δέχεται σύνδεση αποδεικνύει ότι μια συσκευή μπορεί να συνδεθεί, και δεν εξηγεί τίποτα για το εύρος δυνατοτήτων ή τη βάση μέτρησης. Τρεις στήλες που διαφωνούν είναι πολύ πιο χρήσιμες από μία παράγραφο που ακούγεται σίγουρη.

Το αρχείο ολοκληρώνεται όταν και οι τέσσερις στήλες συμπληρωθούν από κάποιον που έχει το δικαίωμα να τις συμπληρώσει. Μια στήλη υπογεγραμμένη από λάθος ιδιοκτήτη είναι μια φήμη με ημερομηνία.

Πλατφόρμα και δικαίωμα

Καταγράψτε την υποστηριζόμενη πύλη, τα λειτουργικά συστήματα του πελάτη, τη διαδρομή ελέγχου ταυτότητας και τα εργαλεία διαχείρισης. Μην κρατάτε ζωντανό έναν παρωχημένο πελάτη μόνο επειδή το παλιό του προφίλ ανοίγει ακόμη, γιατί αυτό το προφίλ είναι ισχυρισμός συμβατότητας που ο προμηθευτής ίσως δεν τηρεί πια. Ελέγξτε τη τρέχουσα δήλωση υποστήριξης απέναντι στην έκδοση που σκοπεύετε να αναπτύξετε.

Για το δικαίωμα, καταγράψτε το προϊόν, τον τύπο άδειας, τη διάρκεια και τη βάση μέτρησης, και έπειτα συμφωνήστε το μέσω του κατόχου του λογαριασμού. Το να συνάγει κανείς δικαιώματα από έναν ιστορικό μετρητή συνεδριών είναι ο τρόπος με τον οποίο ένας οργανισμός ανακαλύπτει έλλειμμα μετά τη μετάβαση και όχι πριν.

Οι οδηγοί παραγγελίας των προμηθευτών δείχνουν γιατί αυτές οι διακρίσεις έχουν σημασία. Ο οδηγός παραγγελίας του Secure Client της Cisco, για παράδειγμα, χωρίζει τις βαθμίδες Advantage, Premier και VPN Only, καθεμία με τη δική της μέτρηση και εύρος δυνατοτήτων. Χρησιμοποιήστε την τρέχουσα συμφωνία αντί να μεταφράζετε μηχανικά μια παλιά ετικέτα.

Δυνατότητες και εφαρμοζόμενη πολιτική

Απαριθμήστε τις δυνατότητες που χρειάζεται πραγματικά η ανάπτυξη: επιτρεπόμενοι τρόποι σήραγγας, αξιολόγηση συσκευών, ενσωμάτωση ελέγχου ταυτότητας και οποιαδήποτε άλλη μονάδα. Ελέγξτε την υποστήριξη και το δικαίωμα για καθεμία χωριστά, γιατί μια δυνατότητα μπορεί να υποστηρίζεται και να μην έχει άδεια, ή να έχει άδεια και να μην υποστηρίζεται στην επιλεγμένη έκδοση. Μόνο μια γραμμή που λέει ναι και στα δύο ερωτήματα μετράει.

Όταν ο στόχος είναι ένα ASA, η στήλη δυνατοτήτων διαβάζεται από τη συσκευή και όχι από συμβόλαιο, οπότε καταγράψτε την πύλη πριν από την ημέρα της μετάβασης. Το show vpn-sessiondb summary δίνει την απογραφή των ενεργών συνεδριών και τους αριθμούς με τους οποίους μετράται το δικαίωμά σας, το show vpn-sessiondb detail anyconnect δείχνει ποιον τύπο πελάτη και προφίλ χρησιμοποίησε στην πράξη κάθε αποδιδόμενη συνεδρία, και το show running-config webvpn καταγράφει τη διαμόρφωση της πύλης από την οποία εξαρτώνται αυτές οι συνεδρίες, και αυτό είναι το μόνο μέρος του αρχείου που κανένα έγγραφο άδειας δεν μπορεί να περιέχει.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Μετά τη μετάβαση, εκτελέστε τις ίδιες τρεις εντολές στη νέα πύλη και συγκρίνετέ τις με τα καταγεγραμμένα αντίγραφα. Η μετακίνηση των αριθμών συνεδριών είναι αναμενόμενη· ένας τύπος πελάτη ή ένα τμήμα webvpn που εμφανίζεται στη μία πλευρά και όχι στην άλλη είναι το εύρημα, και ανήκει στο αρχείο με εξήγηση και όχι σε σχόλιο εισιτηρίου. Κρατήστε τις ακατέργαστες λήψεις μαζί με τις διαφορές, γιατί ο επόμενος ελεγκτής θα θέλει να δει τι συγκρίθηκε. Σε άλλον προμηθευτή το αντίστοιχο είναι ο δικός του πίνακας συνεδριών και η εξαγωγή προφίλ, σε μορφή που δεν θα ταιριάξει, οπότε συγκρίνετε τις ερωτήσεις που του θέτετε και όχι το κείμενο.

Έπειτα αντιστοιχίστε χρήστες και συσκευές στους κανόνες του στόχου, στις άδειες πόρων και στη συμπεριφορά απόρριψης. Μια άδεια που ενεργοποιεί μια δυνατότητα δεν είναι διαμόρφωση που την ασκεί, και το χάσμα ανάμεσα στα δύο είναι όπου ζουν οι περισσότερες εκπλήξεις της μετεγκατάστασης.

Γράψτε τις περιπτώσεις απόρριψης με την ίδια φροντίδα όπως τις επιτρεπόμενες. Ένα σχέδιο που αποδεικνύει μόνο ότι ένας διαχειριστής μπορεί να συνδεθεί έχει δοκιμάσει την ευκολότερη διαδρομή και κανένα από τα όρια.

Αποδεχτείτε και στις δύο πλευρές της απόφασης

Πριν από τη μετάβαση, εκτελέστε ένα εγκεκριμένο σχέδιο αποδοχής στους προβλεπόμενους τύπους πελατών, στις μεθόδους ελέγχου ταυτότητας και στους πόρους. Συμπεριλάβετε μια συσκευή ή ταυτότητα που πρέπει να απορριφθεί και επιβεβαιώστε ποιος κανόνας την επέλεξε και τι μπορεί να προσεγγίσει η συνεδρία που προκύπτει. Συμφωνήστε τις περιπτώσεις άρνησης πριν ανοίξει το παράθυρο αλλαγής, ώστε κανείς να μην μπορεί να τις αφαιρέσει ήσυχα υπό πίεση χρόνου. Ένα σχέδιο χωρίς περίπτωση άρνησης έχει δοκιμάσει την ευτυχή διαδρομή και τίποτε άλλο.

Διατηρήστε μια διαδρομή επαναφοράς και μια διαδρομή διαχείρισης που δεν εξαρτάται από αυτό που μετεγκαθίσταται. Φυλάξτε με ασφάλεια τη διαμόρφωση και τα αρχεία ταυτότητας, και αφήστε πίσω τις παρωχημένες κρυπτογραφικές ρυθμίσεις αντί να τις μεταφέρετε μπροστά. Μην επικολλάτε ποτέ αναγνωριστικά άδειας ή αρχεία χρηστών σε δημόσιες σημειώσεις.

Ζητήστε από τον ιδιοκτήτη να υπογράψει το δικαίωμα και την αντιστοίχιση πολιτικής μαζί. Το ολοκληρωμένο αρχείο απαντά σε δύο ερωτήματα ταυτόχρονα: τι έχει άδεια να αναπτύξει ο οργανισμός και ποιοι κανόνες πραγματικά δέχονται και περιορίζουν τους χρήστες του.