VPN-i migreerimine: litsentsid, funktsioonid ja poliitika ühes kirjes

Seansid, mis vanal kontsentraatoril endiselt töötavad, tunduvad tõendina, et migreerimine on peaaegu valmis. Need on aga üks inventariüksus ja kõige vähem huvitav. Üleminek vajab kirjet, mis seob sihtlüüsi, toetatud kliendi, ostetud õiguse ja rakendatud vastuvõtupoliitika ühte artefakti, mille omanik on keegi konkreetne. Ilma selleta on migreerimine rida eeldusi, millest igaüks eraldi tundub mõistlik.

Neli veergu, mitte üks kontrollnimekiri

Mida riistvara kanda suudab, mida leping lubab ja mida reeglistik lubab, on kolm eraldi küsimust, ja nende segamine annab plaani, mida keegi auditeerida ei saa. Hoidke neid eraldi veergudes ja laske igal veerul oma allikas ära näidata. Seade, mis ühenduse vastu võtab, tõestab, et seade suudab ühenduda, ja see ei selgita midagi funktsioonide ulatuse ega loendamise aluse kohta. Kolm eriarvamusel veergu on palju kasulikumad kui üks enesekindlalt kõlav lõik.

Kirje on valmis siis, kui kõik neli veergu on täitnud keegi, kellel on selleks õigus. Vale omaniku allkirjastatud veerg on kuupäevaga kuulujutt.

Platvorm ja õigus

Kirjeldage toetatud lüüsi, kliendi operatsioonisüsteemid, autentimise tee ja haldustööriistad. Ärge hoidke aegunud klienti elus ainult sellepärast, et selle vana profiil veel avaneb, sest see profiil on ühilduvusväide, mida tarnija ei pruugi enam täita. Võrrelge kehtivat tugiteadet versiooniga, mida kavatsete juurutada.

Õiguse puhul kirjeldage toode, litsentsi tüüp, tähtaeg ja loendamise alus ning seejärel viige see kooskõlla konto omaniku kaudu. Õiguste tuletamine ajaloolisest seansiloendurist on viis, kuidas organisatsioon avastab puudujäägi pärast üleminekut, mitte enne seda.

Tarnijate tellimisjuhendid näitavad, miks need eristused olulised on. Cisco Secure Clienti tellimisjuhend eristab näiteks tasemeid Advantage, Premier ja VPN Only, igaüks oma mõõdu ja funktsioonide ulatusega. Kasutage kehtivat lepingut, selle asemel et vana silti mehaaniliselt tõlkida.

Funktsioonid ja rakendatud poliitika

Loetlege võimalused, mida juurutamine tegelikult vajab: lubatud tunnelirežiimid, seadme hindamine, autentimise integreerimine ja mis tahes muu moodul. Kontrollige tuge ja õigust igaühe jaoks eraldi, sest funktsioon võib olla toetatud ja litsentsimata või litsentsitud ja valitud versioonis toetamata. Loeb ainult rida, mis vastab jaatavalt mõlemale küsimusele.

Kui sihtmärk on ASA, loetakse funktsioonide veerg seadmelt, mitte lepingust, seega jäädvustage lüüs enne üleminekupäeva. show vpn-sessiondb summary annab aktiivsete seansside inventari ja arvud, mille vastu teie õigust mõõdetakse, show vpn-sessiondb detail anyconnect näitab, millist klienditüüpi ja profiili iga omistatud seanss tegelikult kasutas, ja show running-config webvpn jäädvustab lüüsi konfiguratsiooni, millest need seansid sõltuvad, ning see on ainus kirje osa, mida ükski litsentsidokument sisaldada ei saa.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Pärast üleminekut käivitage samad kolm uuel lüüsil ja võrrelge neid jäädvustatud koopiatega. Seansside arvu muutumine on ootuspärane; klienditüüp või webvpn-plokk, mis ilmub ühel poolel ja mitte teisel, on leid, ja see kuulub kirjesse koos selgitusega, mitte pileti kommentaari. Hoidke alles nii toored jäädvustused kui ka erinevused, sest järgmine ülevaataja tahab näha, mida võrreldi. Teise tarnija puhul on vaste selle platvormi enda seansitabel ja profiilide eksport, formaadis, mis ei klapi, seega võrrelge sellele esitatud küsimusi, mitte teksti.

Seejärel vastendage kasutajad ja seadmed sihtmärgi reeglite, ressursiõiguste ja tagasilükkamise käitumisega. Funktsiooni võimaldav litsents ei ole konfiguratsioon, mis seda rakendab, ja just nende kahe vahelises lüngas elab enamik migreerimise üllatusi.

Kirjutage tagasilükkamise juhtumid üles sama hoolega kui lubatud juhtumid. Plaan, mis tõestab ainult seda, et administraator saab ühenduda, on kontrollinud kõige lihtsamat teed ja mitte ühtegi piiri.

Nõustuge otsuse mõlemal poolel

Enne üleminekut käivitage kinnitatud vastuvõtuplaan kavandatud klienditüüpide, autentimismeetodite ja ressursside lõikes. Kaasake seade või identiteet, mis tuleb tagasi lükata, ja kinnitage, milline reegel selle valis ja kuhu tulenev seanss pääseb. Leppige keeldumisjuhtumid kokku enne muudatuste akna avanemist, et keegi ei saaks neid ajasurve all vaikselt välja jätta. Plaan ilma keeldumisjuhtumita on kontrollinud õnnelikku teed ja mitte midagi muud.

Hoidke tagasipöördumistee ja haldustee, mis ei sõltu migreeritavast asjast. Hoidke konfiguratsioon ja identiteedikirjed turvaliselt alles ning jätke aegunud krüptograafilised seaded maha, selle asemel et neid edasi kanda. Ärge kunagi kleepige litsentsi identifikaatoreid ega kasutajakirjeid avalikesse märkmetesse.

Laske omanikul allkirjastada õigus ja poliitika vastendus koos. Valmis kirje vastab korraga kahele küsimusele: mida on organisatsioonil õigus juurutada ja millised reeglid tema kasutajaid tegelikult vastu võtavad ja piiravad.