IOS SSL VPN antigo: paquete, perfil, pasarela e sesión

Atopa un instalador de cliente na memoria flash do router e conclúe que o SSL VPN está configurado. É un compoñente de catro, e os tres restantes deciden se alguén pode conectarse. No IOS SSL VPN antigo as pezas son obxectos distintos: o paquete de cliente da cabeceira, un perfil de cliente opcional, a pasarela WebVPN que remata TLS, e o contexto máis a política de grupo que gardan a autenticación e os parámetros de sesión. Se falta un, o fallo parece o mesmo desde fóra.

O exemplo de configuración de SSL VPN de IOS de Cisco, construído sobre IOS 15.3 con AnyConnect 3.1, é útil precisamente porque mantén eses obxectos separados. Lérao como unha descrición desa implementación máis antiga, non como unha recomendación de despregar esas versións.

Primeiro, o paquete: que é e que non é

O paquete da cabeceira fornece software de cliente para unha soa plataforma. Non é nin o perfil nin o oínte, e un ficheiro que está na memoria flash só demostra que alguén subiu algo. Non demostra que ningunha sesión o usase nunca, que a plataforma coincida co dispositivo do usuario nin que a pasarela faga referencia a el.

Confirme o nome exacto do ficheiro, a plataforma á que se dirixe e onde apunta a configuración. Un paquete de Windows non lle di nada sobre teléfonos, e un ficheiro subido que ningún obxecto de pasarela menciona é almacenamento, non configuración. Un paquete que coincide coa plataforma pero que nunca se asocia co servizo non se ofrecerá a ningún usuario. Nin tampouco un cuxo nome de ficheiro difire do valor que a configuración espera.

Segundo, o perfil: axustes, non software

Un perfil de cliente opcional leva axustes que un administrador prepara por separado, como listas de servidores ou preferencias do cliente. Confundilo cun instalador é habitual porque ambos chegan como ficheiros con nomes semellantes. Se o despregamento espera un perfil, a súa ausencia cambia o que o cliente fai despois de conectarse, non se se conecta.

Inventarie os dous artefactos e anote a cal fai referencia realmente a pasarela. Esa única liña evita unha clase de tíckets de asistencia nos que dúas persoas falan de ficheiros distintos.

Terceiro, o oínte e a identidade TLS

O obxecto de pasarela define o enderezo e o porto aos que chega o mundo exterior e o certificado que se presenta durante o aperto de mans. Un navegador que chega a unha páxina de portal, un cliente que completa a autenticación e unha aplicación que chega a un servidor privado son tres observacións separadas, e só a primeira é unha proba do oínte. Cando o aperto de mans falla, nada máis abaixo importa aínda, así que verifique a cadea de certificados e o nome antes de editar calquera política.

Escriba a identidade esperada nalgún lugar. Un certificado renovado ou substituído é o motivo máis frecuente de que un despregamento que funcionaba o mes pasado deixe de funcionar este.

Cuarto, o contexto e a política co seu modelo virtual

O contexto e a política de grupo vinculan a autenticación ao comportamento da sesión: conxunto de enderezos, rutas divididas, DNS e que redes internas pode acadar un usuario. O exemplo documentado achega o seu contexto a un modelo virtual que fornece o comportamento da interface por sesión, e eses obxectos do lado do servidor existen independentemente de calquera cousa que un usuario descargue.

Cando un usuario se autentica pero non chega a nada, a culpa adoita estar aquí e non no cliente. Compare o conxunto, as rutas entregadas ao cliente e a ACL que permite o tráfico posterior, e compróbeos contra o que o usuario informa e non contra o que o deseño pretendía.

Verifique por orde e detéñase no primeiro fallo

Percorra os catro compoñentes na orde en que unha conexión os atopa: oínte, autenticación, política e despois comportamento do cliente. Confirme TLS coa identidade esperada, autentique unha conta de confianza, lea o enderezo e as rutas asignadas da sesión e só despois compare a plataforma do cliente co paquete. Deterse no primeiro fallo mantén unha soa variable en xogo, e iso é a diferenza entre unha reparación e unha suposición.

Para un teléfono ou calquera cliente fóra dese exemplo histórico de escritorio, obteña o contrato real de cliente e pasarela admitido en vez de supor que o fluxo de Windows se xeneraliza. Cambiar un protocolo solicitado non converterá un perfil IKEv2 neste servizo SSL VPN, e instalar un paquete de escritorio non demostra nada sobre o soporte móbil.