رد مکان‌یابی Firebox: نخست مرحله ورود VPN را پیدا کنید
قاعده‌ای که کلاینت VPN را مسدود می‌کند اغلب سیاست ورود است، نه قاعده دسترسی کاربر. شش بررسی که مرحله واقعی را پیش از هر تغییری پیدا می‌کند.
کسی در کشوری دیگر نمی‌تواند متصل شود، و نخستین واکنش نگاه کردن به قاعده‌ای است که دسترسی به منابع داخلی را می‌دهد. آن قاعده پس از پذیرش اجرا می‌شود، پس نمی‌تواند چیزی باشد که تونل را رد می‌کند. مرحله‌ای که مسدود می‌کند جایی در مسیر ورود است، و Firebox بسته به سرویس VPN بیش از یک مسیر ورود دارد. بررسی‌ها را به ترتیب انجام دهید و به‌محض اینکه یکی از آن‌ها رد شدن را توضیح داد متوقف شوید.
بررسی 1: سرویس ورودی را نام ببرید
برای Mobile VPN با SSL، Access Portal و BOVPN روی TLS، ورودی ورودی سیاست WatchGuard SSLVPN است. محدودیت مورد نظر را همان‌جا، روی سرویس واقعاً پیکربندی‌شده اعمال کنید، نه اینکه آن را از قاعده دسترسی کاربر که بعداً اجرا می‌شود استنتاج کنید.
IPsec مسیر دیگری را طی می‌کند. سیاست IPSec داخلی ترافیک IPsec خارجی به Firebox را برای سرویس‌های شعبه و VPN موبایل مربوطه مجاز می‌کند و بر سیاست IPSec دستی‌ساخته اولویت دارد. اگر کلاینت شما IKEv2 است، در آن مسیر دوم هستید و سیاست SSLVPN بی‌ربط است.
اشتباه کردن در اینجا شایع‌ترین بعدازظهر تلف‌شده در این حوزه است: ویرایش سیاستی که هرگز بسته را نمی‌بیند و سپس نتیجه‌گیری اینکه محدودیت کار نمی‌کند.
بررسی 2: رد شدن را بخوانید، نه نظریه را
یک تلاش مجاز و کنترل‌شده انجام دهید و چهار چیز را به هم مرتبط کنید: نشانی مبدأ عمومی کلاینت، سرویس ورودی که به آن برخورد، سیاستی که مطابقت داشت، و هر دلیل رد در گزارش. راهنمای عیب‌یابی IKEv2 شرکت WatchGuard اشاره می‌کند که مکان‌یابی جغرافیایی و پردازش پیش‌فرض بسته می‌توانند ترافیک را پیش از پذیرش سیاست داخلی رد کنند، یعنی ردی که می‌بینید ممکن است مرحله‌ای را نام ببرد که به آن فکر نکرده‌اید.
طبقه‌بندی کشور از مبدأ شبکه مشاهده‌شده پیروی می‌کند. کاربر سیار، NAT بالادست یا مسیر تأییدشده متفاوت می‌تواند آنچه Firebox می‌بیند را تغییر دهد، پس نشانی را تأیید کنید نه توصیف کاربر از جای خود. نشانی عمومی‌ای که کلاینت می‌بیند را بخواهید و آن را با مبدأ در گزارش Firebox مقایسه کنید. وقتی متفاوت‌اند، طبقه‌بندی مسیری را دنبال می‌کند که هیچ‌کس ذکرش نکرده است.
بررسی 3: آیا سیاست داخلی هنوز مالک است؟
اگر به نظر می‌رسد سیاست IPSec دستی نادیده گرفته می‌شود، بررسی کنید که سیاست داخلی هنوز فعال است یا نه. قاعده دستی‌ای که قاعده داخلی با اولویت بالاتر آن را سایه می‌اندازد و قاعده دستی‌ای که تنها مجوز است، پیکربندی‌های متفاوتی با ظاهر یکسان در رابط هستند.
تصمیم بگیرید کدام باید مالک مسیر باشد. اگر سیاست دستی است، سیاست داخلی باید برای آن ترافیک غیرفعال شود، و بررسی بعدی از همان‌جا آغاز می‌شود.
بررسی 4: پیش از غیرفعال کردن، جایگزینی را برنامه‌ریزی کنید
غیرفعال کردن سیاست IPSec داخلی مجوز آن را برای سرویس‌های VPN متأثر حذف می‌کند. این شامل تونل‌های شعبه‌ای می‌شود که شاید هنگام درست کردن اتصال یک کاربر موبایل به آن‌ها فکر نکنید.
نخست جایگزینی کامل را برنامه‌ریزی کنید: کدام سرویس‌ها مجوز لازم دارند، چه محدوده‌های مبدأ می‌گیرند، و اگر تغییر بد پیش برود دستگاه را چگونه مدیریت می‌کنید. یک مسیر مدیریت و بازیابی مستقل باز نگه دارید، چون اشتباه در اینجا می‌تواند همان تونلی را حذف کند که برای درست کردنش استفاده می‌کردید. مراحل بازیابی را در سابقه تغییر بنویسید، از جمله اینکه اگر مسیر VPN از دست رفت چگونه به دستگاه برسید. سپس تمدید را آزمایش کنید، نه فقط نخستین اتصال را.
اتصال فعال و مذاکره مجدد بعدی هر دو می‌توانند به مجوز وابسته باشند. تغییری که برای نشست آزمایش‌شده کار می‌کند و در تعویض کلید بعدی شکست می‌خورد، نتیجه کلاسیک جایگزینی مجوز بدون آزمایش تمدید است.
بررسی 5: هویت را از مکان جدا نگه دارید
مکان‌یابی جغرافیایی به تصمیم ورود زمینه می‌افزاید. هویت کاربر را اثبات نمی‌کند و نباید جای بررسی‌های هویت دروازه، مجوز حساب یا MFA را بگیرد.
اگر نیاز کسب‌وکار فقط کاربران تأییدشده از مکان‌های تأییدشده است، به هر دو کنترل نیاز دارید. قاعده مکانی که یک کشور کامل را مجاز می‌کند جایگزین احراز هویت نیست، و کاربر احراز هویت‌شده در کشور مسدود یک مسئله سیاستی است نه اشکال.
بررسی 6: آن را ثبت و هر دو مسیر را بررسی کنید
سرویس، سیاست ورود، محدوده مکانی مورد نظر، استثناها و مسئول بازیابی را بنویسید. سپس پس از تغییر، مسیر موبایل و دست‌کم یک مسیر سایت را آزمایش کنید تا محدودیت به سرویسی که برای کنترل آن طراحی شده وابسته بماند.
در پایان، ردی که با آن شروع کردید را دوباره بخوانید. اگر از رد مکانی به شکست احراز هویت یا مجوز تغییر کرده، مشکل ورود حل شده و اکنون مشکل دیگری دیده می‌شود. راهنمای WatchGuard درباره ردهای IKEv2 مرجع ترتیب مراحلی است که در بالا توضیح داده شد.