IOS SSL VPN zaharra: paketea, profila, atebidea eta saioa

Routerraren flash memorian bezero-instalatzaile bat aurkitzen duzu eta SSL VPN konfiguratuta dagoela ondorioztatzen duzu. Lau osagaietako bat da, eta gainerako hirurek erabakitzen dute inor konektatu daitekeen. IOS SSL VPN zaharrean piezak objektu bereiziak dira: buruko bezero-paketea, aukerako bezero-profila, TLS amaitzen duen WebVPN atebidea, eta autentifikazioa eta saioaren ezarpenak gordetzen dituen testuingurua gehi talde-politika. Bat ahaztuta, kanpotik hutsegiteak berdin dirudi.

Ciscoren IOS SSL VPN konfigurazio-adibidea, IOS 15.3 eta AnyConnect 3.1 gainean eraikia, objektu horiek bereizten dituelako da baliagarria. Irakurri ezazu inplementazio zaharrago haren deskribapen gisa, eta ez bertsio haiek hedatzeko gomendio gisa.

Lehena, paketea: zer den eta zer ez den

Buruko paketeak plataforma baterako bezero-softwarea ematen du. Ez da profila ez entzulea, eta flash memorian dagoen fitxategi batek norbaitek zerbait igo zuela frogatzen du soilik. Ez du frogatzen saio batek inoiz erabili zuenik, plataformak erabiltzailearen gailuarekin bat egiten duenik, edo atebideak hura aipatzen duen ere.

Egiaztatu fitxategiaren izen zehatza, zuzentzen zaion plataforma eta konfigurazioak norantz seinalatzen duen. Windows pakete batek ez dizu ezer esaten telefonoeei buruz, eta atebideko objektu batek ere aipatzen ez duen igotako fitxategia biltegiratzea da, ez konfigurazioa. Plataformarekin bat egiten duen baina inoiz zerbitzuarekin lotzen ez den paketea ez zaio inolako erabiltzaileri eskainiko. Konfigurazioak espero duen balioetatik fitxategi-izena desberdina duenari ere ez.

Bigarrena, profila: ezarpenak, ez softwarea

Aukerako bezero-profil batek administratzaileak bereiz prestatzen dituen ezarpenak daramatza, hala nola zerbitzarien zerrendak edo bezeroaren hobespenak. Instalatzaile batekin nahastea ohikoa da, biak izen antzeko fitxategi gisa iristen direlako. Hedapenak profil bat espero badu, haren ezean bezeroak konektatu ondoren egiten duena aldatzen da, ez konektatzen den ala ez.

Inbentaria itzazu bi artefaktuak eta idatzi atebideak zeini egiten dion benetan erreferentzia. Lerro bakar horrek bi pertsona fitxategi desberdinez ari diren laguntza-txartelen klase bat saihesten du.

Hirugarrena, entzulea eta TLS identitatea

Atebidearen objektuak kanpoko munduak iristen duen helbidea eta portua zehazten ditu, eta eskuko keinuaren bitartean aurkezten den ziurtagiria. Nabigatzaile bat atari-orrira iristea, bezero bat autentifikazioa osatzea eta aplikazio bat zerbitzari pribatu batera iristea hiru behaketa bereiziak dira, eta lehenengoa soilik da entzulearen proba. Eskuko keinuak huts egiten duenean, beherago ezerk ez du oraindik axola, beraz egiaztatu ziurtagiri-katea eta izena edozein politika editatu aurretik.

Idatzi espero den identitatea nonbait. Berritutako edo ordezkatutako ziurtagiria da joan den hilabetean funtzionatzen zuen hedapen bat hilabete honetan funtzionatzeari uzten dion arrazoi ohikoena.

Laugarrena, testuingurua eta politika bere txantiloi birtualarekin

Testuinguruak eta talde-politikak autentifikazioa saioaren portaerari lotzen diote: helbide-poola, bide banatuak, DNS eta erabiltzaileak irits ditzakeen barne-sareak. Dokumentatutako adibideak bere testuingurua saio bakoitzeko interfaze-portaera ematen duen txantiloi birtual bati erantsita du, eta zerbitzari aldeko objektu horiek erabiltzaileak deskargatzen duen edozerren independente existitzen dira.

Erabiltzaileak autentifikatu baina inora iristen ez denean, errua normalean hemen egoten da, ez bezeroan. Konparatu pool-a, bezeroari emandako bideak eta aurrerako trafikoa baimentzen duen ACL-a, eta egiaztatu erabiltzaileak jakinarazten duenaren aurka, ez diseinuak asmo zuenaren aurka.

Egiaztatu hurrenez hurren eta gelditu lehen hutsegitean

Igo lau osagaiak konexio batek hauekin topo egiten duen hurrenkeran: entzulea, autentifikazioa, politika, eta gero bezeroaren portaera. Berretsi TLS espero den identitatearekin, autentifikatu kontu fidagarri bat, irakurri saioaren helbide eta bideak, eta horren ondoren soilik konparatu bezeroaren plataforma paketearekin. Lehen hutsegitean gelditzeak aldagai bakarra jokoan mantentzen du, eta hori da konponketa baten eta susmo baten arteko aldea.

Telefono baterako edo mahaigaineko adibide historiko hartatik kanpoko edozein bezerorentzat, lortu benetako bezero eta atebide kontratua onartua, Windows lan-fluxua orokortzen dela suposatu beharrean. Eskatutako protokolo bat aldatzeak ez du IKEv2 profil bat SSL VPN zerbitzu hau bihurtuko, eta mahaigaineko pakete bat instalatzeak ez du ezer frogatzen mugikorren laguntzaz.