IOS SSL VPN ישן: חבילה, פרופיל, שער וסשן

אתם מוצאים מתקין לקוח בזיכרון הפלאש של הנתב ומסיקים כי SSL VPN מוגדר. זהו רכיב אחד מתוך ארבעה, והשלושה הנותרים קובעים אם מישהו יכול להתחבר. ב-IOS SSL VPN הישן החלקים הם אובייקטים נפרדים: חבילת הלקוח של הראש, פרופיל לקוח אופציונלי, שער ה-WebVPN שמסיים TLS, וההקשר יחד עם מדיניות הקבוצה שמחזיקים את הגדרות האימות והסשן. אם מפספסים אחד, הכשל נראה אותו דבר מבחוץ.

דוגמת התצורה של Cisco ל-IOS SSL VPN, שנבנתה על IOS 15.3 עם AnyConnect 3.1, שימושית בדיוק משום שהיא מחזיקה את האובייקטים האלה בנפרד. קראו אותה כתיאור של אותה מימוש ישן יותר, לא כהמלצה לפרוס את הגרסאות האלה.

ראשית, החבילה: מה היא ומה אינה

חבילת הראש מספקת תוכנת לקוח לפלטפורמה אחת. היא אינה הפרופיל ואינה המאזין, וכן קובץ שמונח בפלאש מוכיח רק שמישהו העלה משהו. הוא אינו מוכיח שסשן אי פעם השתמש בו, שהפלטפורמה תואמת למכשיר של המשתמש, או שהשער בכלל מפנה אליו.

אמתו את שם הקובץ המדויק, את הפלטפורמה שאליה הוא מכוון ואת המקום שאליו התצורה מפנה. חבילת Windows לא מספרת לכם דבר על טלפונים, וקובץ שהועלה ואף אובייקט שער לא מזכיר הוא אחסון ולא תצורה. חבילה שמתאימה לפלטפורמה אך אינה משויכת לשירות לעולם לא תוצע לאף משתמש. גם לא כזו ששם הקובץ שלה שונה מהערך שהתצורה מצפה לו.

שנית, הפרופיל: הגדרות ולא תוכנה

פרופיל לקוח אופציונלי נושא הגדרות שמנהל מכין בנפרד, כגון רשימות שרתים או העדפות לקוח. לבלבל אותו עם מתקין זה נפוץ כי שניהם מגיעים כקבצים בשמות דומים. אם הפריסה מצפה לפרופיל, היעדרו משנה את מה שהלקוח עושה לאחר ההתחברות ולא אם הוא מתחבר בכלל.

עשו מלאי של שני החפצים ורשמו לאיזה מהם השער באמת מפנה. השורה האחת הזו מונעת סוג שלם של קריאות תמיכה שבהן שני אנשים דנים בקבצים שונים.

שלישית, המאזין וזהות ה-TLS

אובייקט השער מגדיר את הכתובת והפורט שאליהם מגיע העולם החיצון ואת התעודה שמוצגת במהלך לחיצת היד. דפדפן שמגיע לעמוד פורטל, לקוח שמשלים אימות ויישום שמגיע לשרת פרטי הם שלוש תצפיות נפרדות, ורק הראשונה היא בדיקת מאזין. כשהלחיצה נכשלת, שום דבר במורד הזרם עדיין לא חשוב, לכן אמתו את שרשרת התעודות ואת השם לפני עריכת מדיניות כלשהי.

רשמו את הזהות הצפויה במקום כלשהו. תעודה מחודשת או מוחלפת היא הסיבה הנפוצה ביותר לכך שפריסה שעבדה בחודש שעבר מפסיקה לעבוד בחודש הזה.

רביעית, ההקשר והמדיניות עם התבנית הווירטואלית שלו

ההקשר ומדיניות הקבוצה קושרים את האימות להתנהגות הסשן: מאגר כתובות, מסלולים מפוצלים, DNS והרשתות הפנימיות שאליהן משתמש רשאי להגיע. הדוגמה המתועדת מצרפת את ההקשר שלה לתבנית וירטואלית שמספקת התנהגות ממשק לכל סשן, ואובייקטים אלה בצד השרת קיימים ללא תלות בכל מה שמשתמש מוריד.

כשמשתמש מאומת אך לא מגיע לשום דבר, התקלה בדרך כלל נמצאת כאן ולא בלקוח. השוו את המאגר, את המסלולים שניתנו ללקוח ואת ה-ACL שמתיר תעבורה הלאה, ובדקו אותם מול מה שהמשתמש מדווח ולא מול מה שהתכנון התכוון.

אמתו לפי הסדר ועצרו בכשל הראשון

עברו על ארבעת הרכיבים לפי הסדר שבו חיבור פוגש אותם: מאזין, אימות, מדיניות ואז התנהגות הלקוח. אשרו TLS עם הזהות הצפויה, אמתו חשבון מהימן, קראו את הכתובת והמסלולים שהוקצו מהסשן, ורק לאחר מכן השוו את פלטפורמת הלקוח לחבילה. עצירה בכשל הראשון משאירה משתנה אחד במשחק, וזה ההבדל בין תיקון לניחוש.

עבור טלפון או כל לקוח מחוץ לדוגמת שולחן העבודה ההיסטורית ההיא, השיגו את חוזה הלקוח והשער הנתמך האמיתי במקום להניח שתהליך העבודה של Windows מכליל. שינוי פרוטוקול מבוקש לא יהפוך פרופיל IKEv2 לשירות SSL VPN הזה, והתקנת חבילת שולחן עבודה לא מוכיחה דבר על תמיכה בנייד.