Ald IOS SSL VPN: pakket, profyl, gateway en sesje
In ynstallearder op flash is ien fan fjouwer dielen. Kontrolearje it pakket, it klantprofyl, de TLS-ôflister en it kontekstbelied yn folchoarder, en stop by de earste flater.
Jo fine in klant-ynstallearder op de flash fan de router en konkludearje dat de SSL VPN konfigurearre is. Dat is ien ûnderdiel fan fjouwer, en de oare trije beslute oft immen ferbine kin. By âld IOS SSL VPN binne de stikken aparte objekten: it klantpakket fan de kop, in opsjoneel klantprofyl, de WebVPN-gateway dy't TLS beëiniget, en de kontekst plus it groepsbelied dat de ynstellings foar autentikaasje en sesje hâlde. Mis ien en de flater liket fan bûten itselde.
Cisco syn foarbyldkonfiguraasje foar IOS SSL VPN, boud op IOS 15.3 mei AnyConnect 3.1, is krekt nuttich om't it dy objekten apart hâldt. Lês it as in beskriuwing fan dy âldere ymplemintaasje, net as in oanbefelling om dy ferzjes te deployen.
Earst, it pakket: wat it is en wat it net is
It pakket fan de kop leveret klantsoftware foar ien platfoarm. It is noch it profyl noch de ôflister, en in bestân dat op de flash leit bewiist allinnich dat immen wat uploade hat. It bewiist net dat in sesje it ea brûkt hat, dat it platfoarm by it apparaat fan de brûker past, of dat de gateway der hielendal nei ferwiist.
Kontrolearje de krekte bestânsnamme, it platfoarm dat it rjochtet en wêr't de konfiguraasje nei ferwiist. In Windows-pakket fertelt jo neat oer tillefoans, en in uploade bestân dat gjin gateway-objekt neamt is opslach, net konfiguraasje. In pakket dat by it platfoarm past mar nea oan de tsjinst keppele wurdt, sil oan gjin inkele brûker oanbean wurde. Likemin ien waans bestânsnamme ôfwykt fan de wearde dy't de konfiguraasje ferwachtet.
Twadde, it profyl: ynstellings, net software
In opsjoneel klantprofyl draacht ynstellings dy't in behearder apart taret, lykas tsjinnerlisten of klantfoarkarren. It mei in ynstallearder betiizje is gewoan om't beide as bestannen mei ferlykbere nammen komme. As de útfiering in profyl ferwachtet, feroaret it ûntbrekken dêrfan wat de klant nei it ferbinen docht, net oft er him hielendal ferbynt.
Ynhintearje beide artefakten en notearje hokker't de gateway echt ferwiist. Dy iene rigel foarkomt in klasse stipekaartsjes wêryn't twa minsken oer ferskate bestannen prate.
Tredde, de ôflister en de TLS-identiteit
It gateway-objekt definiearret it adres en de poarte dy't de bûtenwrâld berikt en it sertifikaat dat by de hânsketting oanbean wurdt. In browser dy't in portaalpagina berikt, in klant dy't autentikaasje foltôget, en in applikaasje dy't in privee tsjinner berikt binne trije aparte waarnimmings, en allinnich de earste is in ôflistertest. As de hânsketting mislearret, docht neat streamôf noch ta, dus ferifiearje de sertifikaatkeatling en de namme foardat jo belied bewurkje.
Skriuw de ferwachte identiteit earne op. In fernijde of ferfongen sertifikaat is de meast foarkommende reden dat in útfiering dy't ferline moanne wurke, dizze moanne ophâldt.
Fjirde, de kontekst en it belied mei syn firtuele sjabloan
De kontekst en it groepsbelied bine autentikaasje oan sesjegedrach: adrespôle, splitste rûtes, DNS, en hokker ynterne netwurken in brûker berikke mei. It dokumintearre foarbyld hechtet syn kontekst oan in firtueel sjabloan dat gedrach fan de ynterface per sesje leveret, en dy tsjinner-side objekten besteane ûnôfhinklik fan alles wat in brûker downloade.
As in brûker autentisearret mar neat berikt, leit de flater meast hjir yn stee fan yn de klant. Ferlykje de pôle, de rûtes dy't oan de klant jûn binne en de ACL dy't ferfier tastiet, en kontrolearje se tsjin wat de brûker rapportearret, net tsjin wat it ûntwerp bedoelde.
Ferifiearje yn folchoarder en stop by de earste flater
Rin troch de fjouwer ûnderdielen yn de folchoarder wêryn't in ferbining se moetet: ôflister, autentikaasje, belied, dan klantgedrach. Befêstigje TLS mei de ferwachte identiteit, autentisearje in betrouber akkount, lês it tawiisde adres en de rûtes út de sesje, en ferlykje pas dêrnei it platfoarm fan de klant mei it pakket. Stop by de earste flater hâldt ien fariabele yn it spul, en dat is it ferskil tusken in reparaasje en in gissing.
Foar in tillefoan of hokker klant dan ek bûten dat histoaryske desktop-foarbyld, krije it echte stipe klant- en gateway-kontrakt yn stee fan te ferûnderstellen dat de Windows-wurkstream generalisearret. It feroarjen fan in frege protokol sil in IKEv2-profyl net yn dizze SSL VPN-tsjinst feroarje, en it ynstallearjen fan in desktoppakket bewiist neat oer mobile stipe.