Vana SSL VPN IOS-is: pakett, profiil, lüüs ja seanss

Leiate ruuteri flash-mälust kliendi paigaldaja ja järeldate, et SSL VPN on seadistatud. See on üks neljast komponendist ja ülejäänud kolm otsustavad, kas keegi üldse ühenduda saab. Vana IOS SSL VPN-i puhul on osad eraldi objektid: peakliendi pakett, valikuline kliendiprofiil, WebVPN-i lüüs, mis lõpetab TLS-i, ning kontekst ja grupipoliitika, mis hoiavad autentimise ja seansi seadeid. Kui üks puudub, näeb tõrge väljastpoolt ühesugune välja.

Cisco IOS SSL VPN-i seadistusnäide, mis on üles ehitatud IOS 15.3-le koos AnyConnect 3.1-ga, on kasulik just sellepärast, et hoiab need objektid lahus. Lugege seda tolle vanema teostuse kirjeldusena, mitte soovitusena neid versioone juurutada.

Esiteks pakett: mis see on ja mis see ei ole

Peakliendi pakett pakub klienditarkvara ühe platvormi jaoks. See ei ole ei profiil ega kuulaja, ja flash-mälus lebav fail tõestab ainult seda, et keegi laadis midagi üles. See ei tõesta, et mõni seanss oleks seda kunagi kasutanud, et platvorm sobiks kasutaja seadmega või et lüüs sellele üldse viitaks.

Kinnitage täpne failinimi, sihtplatvorm ja koht, kuhu seadistus sellele osutab. Windowsi pakett ei ütle teile telefonide kohta midagi ja üleslaaditud fail, mida ükski lüüsi objekt ei maini, on salvestusruum, mitte seadistus. Paketti, mis platvormiga sobib, kuid mida teenusega kunagi ei seostata, ei pakuta ühelegi kasutajale. Samuti mitte seda, mille failinimi erineb väärtusest, mida seadistus ootab.

Teiseks profiil: seaded, mitte tarkvara

Valikuline kliendiprofiil kannab seadeid, mille administraator valmistab eraldi ette, näiteks serverite loendeid või kliendi eelistusi. Selle segiajamine paigaldajaga on tavaline, sest mõlemad saabuvad sarnaste nimedega failidena. Kui juurutus ootab profiili, muudab selle puudumine seda, mida klient pärast ühendamist teeb, mitte seda, kas ta üldse ühendub.

Loetlege mõlemad artefaktid ja kirjutage üles, millisele lüüs tegelikult viitab. See üks rida hoiab ära terve klassi tugipileteid, kus kaks inimest räägivad erinevatest failidest.

Kolmandaks kuulaja ja TLS-i identiteet

Lüüsi objekt määrab aadressi ja pordi, milleni välismaailm jõuab, ning sertifikaadi, mis käepigistuse ajal esitatakse. Portaali lehele jõudev brauser, autentimise lõpetav klient ja privaatserverisse jõudev rakendus on kolm eraldi vaatlust ja ainult esimene on kuulaja test. Kui käepigistus ebaõnnestub, ei loe veel miski allavoolu, seega kontrollige sertifikaadiahelat ja nime enne mis tahes poliitika muutmist.

Kirjutage oodatav identiteet kuhugi üles. Uuendatud või väljavahetatud sertifikaat on kõige sagedasem põhjus, miks eelmisel kuul töötanud juurutus lakkab sel kuul töötamast.

Neljandaks kontekst ja poliitika koos virtuaalse malliga

Kontekst ja grupipoliitika seovad autentimise seansi käitumisega: aadresside kogum, jaotatud marsruudid, DNS ja see, millistele sisemistele võrkudele kasutaja pääseb. Dokumenteeritud näide seob oma konteksti virtuaalse malliga, mis annab liidese käitumise iga seansi jaoks, ja need serveripoolsed objektid eksisteerivad sõltumata kõigest, mida kasutaja alla laadib.

Kui kasutaja autendib end, kuid ei jõua kuhugi, asub viga tavaliselt siin, mitte kliendis. Võrrelge kogumit, kliendile antud marsruute ja juurdepääsuloendit, mis lubab edasist liiklust, ning kontrollige neid selle vastu, mida kasutaja teatab, mitte selle vastu, mida disain kavatses.

Kontrollige järjekorras ja peatuge esimese tõrke juures

Käige neli komponenti läbi selles järjekorras, milles ühendus neid kohtab: kuulaja, autentimine, poliitika ja siis kliendi käitumine. Kinnitage TLS oodatava identiteediga, autentige teadaolevalt korras konto, lugege seansist välja määratud aadress ja marsruudid ning alles siis võrrelge kliendi platvormi paketiga. Peatumine esimese tõrke juures hoiab mängus üheainsa muutuja ja see on vahe paranduse ja oletuse vahel.

Telefoni või ükskõik millise kliendi jaoks väljaspool seda ajaloolist töölaua näidet hankige tegelikult toetatud kliendi ja lüüsi leping, selle asemel et eeldada, et Windowsi töövoog üldistub. Nõutud protokolli muutmine ei muuda IKEv2 profiili selleks SSL VPN teenuseks ja töölauapaketi paigaldamine ei tõesta mobiilse toe kohta midagi.