Firebox-geolokaasje-wegering: fyn earst it VPN-yngongspaad

Immen yn in oar lân kin gjin ferbining meitsje, en de earste ympuls is om te sjen nei de regel dy't tagong jout ta ynterne boarnen. Dy regel rint nei talitting, dat kin net it ding wêze dat de tunnel wegere. De blokkearjende stap is earne yn it yngongspaad, en de Firebox hat mear as ien yngongspaad ôfhinklik fan de VPN-tsjinst. Wurkje de kontrôles op folchoarder ôf en stop sa gau as ien fan har de wegering ferklearret.

Kontrôle 1: beneam de ynkommende tsjinst

Foar Mobile VPN mei SSL, Access Portal en BOVPN oer TLS is de ynkommende yngong it WatchGuard SSLVPN-belied. Pas dêr de bedoelde beheining ta, op de feitlik konfigurearre tsjinst, ynstee fan it ôf te lieden fan in brûkerstagonbelied dat letter rint.

IPsec nimt in oar paad. It ynboude IPSec-belied lit ekstern IPsec-ferkear nei de Firebox ta foar de oanbelangjende branch- en mobile VPN-tsjinsten, en it hat foarrang boppe in mei de hân oanmakke IPSec-belied. As jo klant IKEv2 is, binne jo op dat twadde paad, en it SSLVPN-belied is net relevant.

Dit ferkeard dwaan is de meast foarkommende fergriemde middei op dit mêd: in belied bewurkje dat it pakket nea sjocht, en dan konkludearje dat de beheining net wurket.

Kontrôle 2: lês de wegering, net de teory

Doch ien kontrolearre tastiene poging en korrelearje fjouwer dingen: it iepenbiere boarne-adres fan de klant, de yngongstsjinst dy't it rekke, it belied dat oerienkaam, en hokker wegeringsreden dan ek yn it log. WatchGuard syn IKEv2-probleemoplossingsgids merkt op dat geolokaasje en standertpakketferwurking ferkear wegerje kinne foar de talitting fan it ynboude belied, wat betsjut dat de wegering dy't jo sjogge in stap neame kin dy't jo net betocht hawwe.

Lânklassifikaasje folget de waarnommen netwurkboarne. In rûnreizgjende brûker, in NAT boppe yn 'e keatling of in oar goedkard paad kinne feroarje wat de Firebox sjocht, befêstigje dêrom it adres ynstee fan 'e beskriuwing fan 'e brûker oer wêr't hy is. Freegje om it iepenbiere adres dat de klant sjocht, en ferlykje it mei de boarne yn it Firebox-log. As dy ferskille, folget de klassifikaasje in paad dat nimmen neamde.

Kontrôle 3: is it ynboude belied noch de eigner?

As it liket dat in hânmjittich IPSec-belied negearre wurdt, kontrolearje dan oft it ynboude noch ynskeakele is. In hânmjittige regel dy't oerskadele wurdt troch in ynboude regel mei heger foarrang en in hânmjittige regel dy't de iennige talitting is, binne ferskate konfiguraasjes mei itselde uterlik yn 'e ynterface.

Beslis hokker fan 'e beide it paad besitte moat. Is it it hânmjittige belied, dan moat it ynboude foar dat ferkear útskeakele wurde, en dêr begjint de folgjende kontrôle.

Kontrôle 4: plan de ferfanging foar it útskeakeljen

It útskeakeljen fan it ynboude IPSec-belied hellet syn talitting foar de oanbelangjende VPN-tsjinsten fuort. Dat omfettet branch-tunnels dêr't jo miskien net oan tinke wylst jo de ferbining fan ien mobile brûker meitsje.

Plan earst de folsleine ferfanging: hokker tsjinsten talitting nedich hawwe, hokker boarnergebieten se krije, en hoe't jo it apparaat beheare as de feroaring misgiet. Hâld in ûnôfhinklik behear- en werstelpaad iepen, want in flater hjir kin de tunnel weinimme dy't jo brûke soene om it te meitsjen. Skriuw de werstelstappen yn it feroaringsrecord, ynklusyf hoe't jo it apparaat berikke as it VPN-paad fuort is. Test dan ferfanging, net allinnich de earste ferbining.

Aktive ferbining en lettere opnij ûnderhanneling kinne beide fan talitting ôfhingje. In feroaring dy't wurket foar de sesje dy't jo teste en mislearret by de folgjende kaaiwiksel is in klassyk resultaat fan it ferfangen fan talitting sûnder ferfanging te testen.

Kontrôle 5: hâld identiteit los fan lokaasje

Geolokaasje foeget kontekst ta oan in yngongsbeslissing. It stelt net fêst wa't de brûker is, en it moat gjin gateway-identiteitskontrôles, akkountautorisearring of MFA ferfange.

As de saaklike eask allinnich goedkarde brûkers fan goedkarde plakken is, hawwe jo beide kontrôles nedich. In lokaasjeregel dy't in hiel lân talit is gjin ferfanging foar autentikaasje, en in autentisearre brûker yn in blokkearre lân is in beliedsfraach, net in bug.

Kontrôle 6: skriuw it op en ferifiearje beide paden

Skriuw de tsjinst op, it yngongsbelied, it bedoelde lokaasjeberik, de útsûnderings en de eigner fan it werstel. Test dan nei de feroaring it mobile paad en teminsten ien sideplak, sadat de beheining ferbûn bliuwt mei de tsjinst dêr't it foar ûntwurpen is.

Lêst, lês de wegering wer dêr't jo mei begûn binne. As dy feroare is fan in lokaasjewegering nei in autentikaasje- of autorisaasjeflater, is it yngongsprobleem oplost en is no in oar sichtber. WatchGuard-gids oer IKEv2-wegeringen is de referinsje foar de stapfolchoarder hjirboppe beskreaun.