Fireboxin geopaikannushylkäys: etsi ensin VPN-saapumisvaihe

Joku toisessa maassa ei saa yhteyttä, ja ensimmäinen vaisto on katsoa sääntöä, joka myöntää pääsyn sisäisiin resursseihin. Se sääntö toimii vasta hyväksynnän jälkeen, joten se ei voi olla se, mikä hylkää tunnelin. Estävä vaihe on jossain saapumispolulla, ja Fireboxilla on VPN-palvelusta riippuen useampi kuin yksi saapumispolku. Käy tarkistukset järjestyksessä läpi ja lopeta heti, kun yksi niistä selittää hylkäyksen.

Tarkistus 1: nimeä saapuva palvelu

Kun kyseessä on Mobile VPN ja SSL, Access Portal ja BOVPN TLS:n yli, saapuva saapuminen on WatchGuard SSLVPN -käytäntö. Käytä aiottua rajoitusta siinä, varsinaisesti määritetyssä palvelussa, sen sijaan että johtaisit sen myöhemmin toimivasta käyttäjän käyttösäännöstä.

IPsec kulkee toista polkua. Sisäänrakennettu IPSec-käytäntö sallii ulkoisen IPsec-liikenteen Fireboxiin asiaankuuluville haaratoimisto- ja mobiili-VPN-palveluille, ja se menee käsin luodun IPSec-käytännön edelle. Jos asiakkaasi on IKEv2, olet tuolla toisella polulla, eikä SSLVPN-käytäntö ole merkityksellinen.

Tämän tekeminen väärin on tämän alan yleisin hukattu iltapäivä: muokata käytäntöä, joka ei koskaan näe pakettia, ja sitten päätellä, ettei rajoitus toimi.

Tarkistus 2: lue hylkäys, älä teoriaa

Tee yksi valvottu sallittu yritys ja korreloi neljä asiaa: asiakkaan julkinen lähdeosoite, saapumispalvelu johon se osui, käytäntö joka täsmäsi, ja mahdollinen hylkäysperuste lokissa. WatchGuardin IKEv2-vianmääritysohje huomauttaa, että geopaikannus ja oletusarvoinen pakettien käsittely voivat hylätä liikennettä ennen sisäänrakennetun käytännön hyväksyntää, mikä tarkoittaa, että näkemäsi hylkäys voi nimetä vaiheen, jota et ole ottanut huomioon.

Maan luokittelu seuraa havaittua verkkolähdettä. Vierivä käyttäjä, ylempi NAT tai eri hyväksytty polku voivat muuttaa sitä, mitä Firebox näkee, joten vahvista osoite eikä käyttäjän kuvausta sijainnistaan. Pyydä julkinen osoite, jonka asiakas näkee, ja vertaa sitä Fireboxin lokin lähteeseen. Kun ne eroavat, luokittelu seuraa polkua, jota kukaan ei maininnut.

Tarkistus 3: onko sisäänrakennettu käytäntö yhä omistaja?

Jos käsin tehty IPSec-käytäntö näyttää tulevan ohitetuksi, tarkista, onko sisäänrakennettu yhä käytössä. Käsin tehty sääntö, jonka korkeamman prioriteetin sisäänrakennettu sääntö peittää, ja käsin tehty sääntö, joka on ainoa hyväksyntä, ovat erilaisia kokoonpanoja samannäköisellä käyttöliittymällä.

Päätä, kumman haluat omistavan polun. Jos se on käsin tehty käytäntö, sisäänrakennettu on poistettava käytöstä kyseiseltä liikenteeltä, ja siitä seuraava tarkistus alkaa.

Tarkistus 4: suunnittele korvaaminen ennen poistamista

Sisäänrakennetun IPSec-käytännön poistaminen käytöstä poistaa sen hyväksynnän kyseisiltä VPN-palveluilta. Siihen kuuluu haaratoimistotunneleita, joita et ehkä ajattele korjatessasi yhden mobiilikäyttäjän yhteyttä.

Suunnittele ensin täydellinen korvaaminen: mitkä palvelut tarvitsevat hyväksynnän, mitkä lähdealueet ne saavat ja miten hallitset laitetta, jos muutos menee pieleen. Pidä riippumaton hallinta- ja palautuspolku avoinna, sillä virhe tässä voi poistaa tunnelin, jota käyttäisit sen korjaamiseen. Kirjaa palautusvaiheet muutosmerkintään, mukaan lukien miten laitteeseen pääsee, jos VPN-polku on poissa. Testaa sitten uusiminen, ei vain ensimmäistä yhteyttä.

Aktiivinen yhteydetys ja myöhempi uudelleenneuvottelu voivat molemmat riippua hyväksynnästä. Muutos, joka toimii testatussa istunnossa ja epäonnistuu seuraavassa avainvaihdossa, on klassinen seuraus hyväksynnän korvaamisesta testaamatta uusimista.

Tarkistus 5: pidä identiteetti erillään sijainnista

Geopaikannus lisää kontekstia saapumispäätökseen. Se ei vahvista, kuka käyttäjä on, eikä sen pitäisi korvata yhdyskäytävän identiteettitarkistuksia, tilin valtuutusta tai MFA:ta.

Jos liiketoimintavaatimus on vain hyväksytyt käyttäjät hyväksytyistä paikoista, tarvitset molemmat valvontakeinot. Koko maan salliva sijaintisääntö ei korvaa todennusta, ja estetyssä maassa oleva todennettu käyttäjä on käytäntökysymys, ei virhe.

Tarkistus 6: kirjaa se ja vahvista molemmat polut

Kirjaa palvelu, saapumiskäytäntö, aiottu sijaintialue, poikkeukset ja palautuksen omistaja. Testaa sitten muutoksen jälkeen mobiilipolku ja ainakin yksi toimipistepolku, jotta rajoitus pysyy sidottuna siihen palveluun, jota varten se suunniteltiin.

Lue lopuksi uudelleen hylkäys, jolla aloitit. Jos se on muuttunut sijaintihylkäyksestä todennus- tai valtuutusvirheeksi, saapumisongelma on ratkaistu ja toinen on nyt näkyvissä. WatchGuardin ohje IKEv2-hylkäyksistä on viite yllä kuvatulle vaihejärjestykselle.