Vanha IOS SSL VPN: paketti, profiili, yhdyskäytävä ja istunto

Löydät reitittimen flash-muistista asiakasasennusohjelman ja päättelet, että SSL VPN on määritetty. Se on yksi neljästä komponentista, ja loput kolme ratkaisevat, voiko kukaan yhdistää. Vanhassa IOS SSL VPN:ssä osat ovat erillisiä objekteja: päätepisteen asiakaspaketti, valinnainen asiakasprofiili, TLS:n päättävä WebVPN-yhdyskäytävä sekä konteksti ja ryhmäkäytäntö, joissa todennuksen ja istunnon asetukset ovat. Jos yksi puuttuu, vika näyttää ulkopuolelta samalta.

Ciscon IOS SSL VPN -kokoonpanoesimerkki, joka on rakennettu IOS 15.3:lle AnyConnect 3.1:llä, on hyödyllinen juuri siksi, että se pitää nämä objektit erillään. Lue se kuvauksena tuosta vanhemmasta toteutuksesta, älä suosituksena ottaa nuo versiot käyttöön.

Ensimmäiseksi paketti: mitä se on ja mitä ei

Päätepisteen paketti toimittaa asiakasohjelmiston yhdelle alustalle. Se ei ole profiili eikä kuuntelija, ja flash-muistissa oleva tiedosto todistaa vain, että joku latasi jotain. Se ei todista, että istunto olisi koskaan käyttänyt sitä, että alusta vastaa käyttäjän laitetta tai että yhdyskäytävä viittaa siihen lainkaan.

Varmista tarkka tiedostonimi, alusta, jolle se on tarkoitettu, ja mihin kokoonpano osoittaa. Windows-paketti ei kerro mitään puhelimista, ja ladattu tiedosto, jota mikään yhdyskäytäväobjekti ei mainitse, on tallennustilaa eikä kokoonpanoa. Pakettia, joka vastaa alustaa mutta jota ei koskaan liitetä palveluun, ei tarjota kenellekään käyttäjälle. Ei myöskään sellaista, jonka tiedostonimi poikkeaa arvosta, jota kokoonpano odottaa.

Toiseksi profiili: asetuksia, ei ohjelmistoa

Valinnainen asiakasprofiili sisältää asetuksia, jotka ylläpitäjä valmistelee erikseen, kuten palvelinluetteloita tai asiakasasetuksia. Sen sekoittaminen asennusohjelmaan on tavallista, koska molemmat saapuvat samannimisinä tiedostoina. Jos käyttöönotto odottaa profiilia, sen puuttuminen muuttaa sitä, mitä asiakas tekee yhdistämisen jälkeen, ei sitä, yhdistääkö se lainkaan.

Luetteloi molemmat artefaktit ja kirjaa, kumpaan yhdyskäytävä todella viittaa. Tuo yksi rivi estää kokonaisen tukipyyntöluokan, jossa kaksi ihmistä puhuu eri tiedostoista.

Kolmanneksi kuuntelija ja TLS-identiteetti

Yhdyskäytäväobjekti määrittää osoitteen ja portin, johon ulkomaailma pääsee, ja sertifikaatin, joka esitetään kättelyn aikana. Selaimen saapuminen portaalisivulle, asiakkaan todennuksen suorittaminen ja sovelluksen pääseminen yksityiselle palvelimelle ovat kolme erillistä havaintoa, ja vain ensimmäinen on kuuntelijatesti. Kun kättely epäonnistuu, mikään alavirrassa ei vielä merkitse mitään, joten varmista sertifikaattiketju ja nimi ennen minkään käytännön muokkaamista.

Kirjoita odotettu identiteetti jonnekin. Uusittu tai korvattu sertifikaatti on yleisin syy siihen, että viime kuussa toiminut käyttöönotto lakkaa toimimasta tässä kuussa.

Neljänneksi konteksti ja käytäntö virtuaalimallineen

Konteksti ja ryhmäkäytäntö sitovat todennuksen istunnon käyttäytymiseen: osoiteallas, jaetut reitit, DNS ja sisäverkot, joihin käyttäjä voi päästä. Dokumentoitu esimerkki liittää kontekstinsa virtuaalimalliin, joka tarjoaa istuntokohtaisen liitännän käyttäytymisen, ja nämä palvelinpuolen objektit ovat olemassa riippumatta siitä, mitä käyttäjä lataa.

Kun käyttäjä todennetaan mutta ei pääse mihinkään, vika on yleensä täällä eikä asiakkaassa. Vertaa allasta, asiakkaalle annetut reitit ja ACL, joka sallii eteenpäin menevän liikenteen, ja tarkista ne sen kanssa, mitä käyttäjä raportoi, ei sen, mitä suunnittelu tarkoitti.

Tarkista järjestyksessä ja pysähdy ensimmäiseen vikaan

Käy neljä komponenttia läpi siinä järjestyksessä, jossa yhteys kohtaa ne: kuuntelija, todennus, käytäntö ja lopuksi asiakkaan käyttäytyminen. Vahvista TLS odotetulla identiteetillä, todenna luotettu tili, lue istunnosta määritetty osoite ja reitit ja vasta sen jälkeen vertaa asiakkaan alustaa pakettiin. Ensimmäiseen vikaan pysähtyminen pitää yhden muuttujan pelissä, ja se on ero korjauksen ja arvauksen välillä.

Puhelimelle tai millekään asiakkaalle tuon historiallisen työpöytäesimerkin ulkopuolella hanki todellinen tuettu asiakas- ja yhdyskäytäväsopimus sen sijaan, että olettaisit Windows-työnkulun yleistyvän. Pyydetyn protokollan muuttaminen ei tee IKEv2-profiilista tätä SSL VPN -palvelua, eikä työpöytäpaketin asentaminen todista mitään mobiilituesta.