SSL VPN قدیمی در IOS: بسته، نمایه، دروازه و نشست
یک نصب‌کننده روی حافظه فلش یکی از چهار بخش است. بسته، نمایه کلاینت، شنونده TLS و سیاست زمینه را به ترتیب بررسی کنید و در نخستین خرابی بایستید.
روی حافظه فلش روتر یک نصب‌کننده کلاینت پیدا می‌کنید و نتیجه می‌گیرید که SSL VPN پیکربندی شده است. این یک مؤلفه از چهار مؤلفه است و سه مؤلفه دیگر تعیین می‌کنند که آیا کسی می‌تواند متصل شود. در SSL VPN قدیمی IOS، اجزا اشیای جداگانه‌اند: بسته کلاینت سرشاخه، نمایه اختیاری کلاینت، دروازه WebVPN که TLS را پایان می‌دهد، و زمینه به‌همراه سیاست گروهی که تنظیمات احراز هویت و نشست را نگه می‌دارند. یکی را از دست بدهید و خرابی از بیرون همان‌طور به نظر می‌رسد.
نمونه پیکربندی SSL VPN در IOS از سیسکو، که بر IOS 15.3 با AnyConnect 3.1 ساخته شده است، دقیقاً به این دلیل سودمند است که این اشیا را جدا نگه می‌دارد. آن را به‌عنوان توصیف آن پیاده‌سازی قدیمی‌تر بخوانید، نه به‌عنوان توصیه‌ای برای استقرار آن نسخه‌ها.
نخست، بسته: چیست و چیست نه
بسته سرشاخه نرم‌افزار کلاینت را برای یک سکو فراهم می‌کند. نه نمایه است و نه شنونده، و فایلی که روی حافظه فلش نشسته است تنها ثابت می‌کند کسی چیزی بارگذاری کرده است. ثابت نمی‌کند که نشستی هرگز از آن استفاده کرده، که سکو با دستگاه کاربر می‌خواند، یا اینکه دروازه اصلاً به آن ارجاع می‌دهد.
نام دقیق فایل، سکویی که هدف گرفته و جایی که پیکربندی به آن اشاره می‌کند را تأیید کنید. بسته Windows هیچ چیزی درباره تلفن‌ها نمی‌گوید، و فایل بارگذاری‌شده‌ای که هیچ شیء دروازه‌ای از آن نام نمی‌برد ذخیره‌سازی است نه پیکربندی. بسته‌ای که با سکو می‌خواند اما هرگز به سرویس متصل نمی‌شود به هیچ کاربری عرضه نخواهد شد. همچنین بسته‌ای که نام فایلش با مقداری که پیکربندی انتظار دارد تفاوت دارد.
دوم، نمایه: تنظیمات نه نرم‌افزار
نمایه اختیاری کلاینت تنظیماتی را حمل می‌کند که مدیر به‌طور جداگانه آماده می‌کند، مانند فهرست سرورها یا ترجیحات کلاینت. اشتباه گرفتن آن با نصب‌کننده رایج است زیرا هر دو به‌صورت فایل‌هایی با نام‌های مشابه می‌رسند. اگر استقرار انتظار نمایه‌ای داشته باشد، نبودنش آنچه را کلاینت پس از اتصال انجام می‌دهد تغییر می‌دهد، نه اینکه اصلاً متصل می‌شود یا نه.
هر دو مصنوع را فهرست کنید و ثبت کنید که دروازه واقعاً به کدام ارجاع می‌دهد. همان یک خط از دسته‌ای از بلیت‌های پشتیبانی جلوگیری می‌کند که در آن دو نفر درباره فایل‌های متفاوت صحبت می‌کنند.
سوم، شنونده و هویت TLS
شیء دروازه نشانی و پورتی را که دنیای بیرون به آن می‌رسد و گواهی‌ای را که در هنگام دست‌دادن ارائه می‌شود تعریف می‌کند. رسیدن مرورگر به صفحه دروازه، تکمیل احراز هویت توسط کلاینت، و رسیدن یک برنامه به سرور خصوصی سه مشاهده جداگانه‌اند و تنها اولی آزمون شنونده است. وقتی دست‌دادن شکست می‌خورد، هیچ چیز پایین‌دستی هنوز اهمیتی ندارد، پس زنجیره گواهی و نام را پیش از ویرایش هر سیاستی بررسی کنید.
هویت مورد انتظار را جایی بنویسید. گواهی تمدیدشده یا جایگزین‌شده شایع‌ترین دلیل توقف کار استقراری است که ماه گذشته کار می‌کرد و این ماه کار نمی‌کند.
چهارم، زمینه و سیاست همراه با الگوی مجازی آن
زمینه و سیاست گروهی احراز هویت را به رفتار نشست پیوند می‌دهند: استخر نشانی، مسیرهای تقسیم‌شده، DNS، و شبکه‌های داخلی که کاربر می‌تواند به آن‌ها برسد. نمونه مستند، زمینه خود را به الگوی مجازی متصل می‌کند که رفتار رابط هر نشست را فراهم می‌کند، و آن اشیای سمت سرور مستقل از هر چیزی که کاربر بارگیری می‌کند وجود دارند.
وقتی کاربر احراز هویت می‌شود اما به جایی نمی‌رسد، خطا معمولاً اینجاست نه در کلاینت. استخر، مسیرهای داده‌شده به کلاینت و ACL را که ترافیک بعدی را مجاز می‌کند مقایسه کنید و آن‌ها را با آنچه کاربر گزارش می‌دهد بسنجید، نه با آنچه طراحی در نظر داشت.
به ترتیب بررسی کنید و در نخستین خرابی بایستید
چهار مؤلفه را به همان ترتیبی که یک اتصال با آن‌ها روبه‌رو می‌شود طی کنید: شنونده، احراز هویت، سیاست، سپس رفتار کلاینت. TLS را با هویت مورد انتظار تأیید کنید، یک حساب مطمئن را احراز هویت کنید، نشانی و مسیرهای تخصیص‌یافته را از نشست بخوانید و تنها پس از آن سکوی کلاینت را با بسته مقایسه کنید. ایستادن در نخستین خرابی یک متغیر را در بازی نگه می‌دارد و همین تفاوت میان تعمیر و حدس است.
برای یک تلفن یا هر کلاینتی بیرون از آن نمونه تاریخی رومیزی، قرارداد واقعی و پشتیبانی‌شده کلاینت و دروازه را به دست آورید به‌جای اینکه فرض کنید جریان کاری Windows تعمیم می‌یابد. تغییر یک پروتکل درخواستی نمایه IKEv2 را به این سرویس SSL VPN تبدیل نمی‌کند و نصب یک بسته رومیزی هیچ چیزی درباره پشتیبانی موبایل ثابت نمی‌کند.