העברת VPN: רישיונות, תכונות ומדיניות כרישום אחד

הפעלות שעדיין עובדות במרכזן הישן נראות כהוכחה שההעברה כמעט הושלמה. הן פריט מלאי אחד, והפחות מעניין. מה שהמעבר צריך הוא רישום שקושר את שער היעד, הלקוח הנתמך, הזכאות הנרכשת ומדיניות הקבלה הנאכפת לכדי חפץ אחד שמישהו אחראי עליו. בלעדיו, ההעברה היא שרשרת הנחות שכל אחת מהן נראית סבירה כשלעצמה.

ארבעה עמודות, לא רשימת בדיקה אחת

מה החומרה יכולה לשאת, מה החוזה מתיר ומה מערכת הכללים מאפשרת הם שלושה שאלות נפרדות, וערבובן מייצר תוכנית שאיש אינו יכול לבקר. החזיקו אותן בעמודות נפרדות ודרשו מכל אחת לציין את מקורה. התקן שמקבל חיבור מוכיח שהתקן יכול להתחבר, והוא אינו מסביר דבר על היקף התכונות או על בסיס הספירה. שלוש עמודות שחולקות זו על זו שימושיות הרבה יותר מפסקה אחת שנשמעת בטוחה.

הרישום מושלם כשכל ארבע העמודות מלאות בידי מי שזכאי למלא אותן. עמודה שנחתמה בידי הבעלים הלא נכון היא שמועה עם תאריך.

פלטפורמה וזכאות

תעדו את השער הנתמך, את מערכות ההפעלה של הלקוח, את מסלול האימות ואת כלי הניהול. אל תחזיקו לקוח מיושן בחיים רק מפני שהפרופיל הישן שלו עדיין נפתח, שכן הפרופיל הזה הוא הצהרת תאימות שהספק אולי אינו מקיים עוד. השוו את הצהרת התמיכה הנוכחית לגרסה שאתם מתכננים לפרוס.

בזכאות תעדו את המוצר, את סוג הרישיון, את התקופה ואת בסיס הספירה, ואחר כך יישרו אותם דרך בעל החשבון. הסקת זכויות ממונה הפעלות היסטורי היא הדרך שבה ארגון מגלה חוסר לאחר המעבר ולא לפניו.

מדריכי ההזמנה של הספקים ממחישים מדוע ההבחנות הללו חשובות. מדריך ההזמנה של Secure Client של Cisco, למשל, מפריד בין הרמות Advantage, Premier ו-VPN Only, כל אחת עם המידה והיקף התכונות שלה. השתמשו בהסכם הנוכחי ולא בתרגום מכני של תווית ישנה.

תכונות ומדיניות נאכפת

פרטו את היכולות שהפריסה באמת זקוקה להן: מצבי מנהרה מותרים, הערכת התקנים, שילוב אימות וכל מודול אחר. בדקו תמיכה וזכאות לכל אחת בנפרד, מפני שתכונה יכולה להיות נתמכת ובלי רישיון, או עם רישיון ולא נתמכת בגרסה שנבחרה. רק שורה שעונה כן לשתי השאלות נחשבת.

כשהיעד הוא ASA, עמודת התכונות נקראת מהמכשיר ולא מהחוזה, לכן תעדו את השער לפני יום המעבר. show vpn-sessiondb summary נותן את מלאי ההפעלות החיות ואת המספרים שמולם נמדדת הזכאות שלכם, show vpn-sessiondb detail anyconnect מראה איזה סוג לקוח ופרופיל כל הפעלה מיוחסת השתמשה בפועל, ו-show running-config webvpn לוכד את תצורת השער שאליה תלויות ההפעלות הללו, וזהו החלק היחיד ברישום ששום מסמך רישיון אינו יכול להכיל.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

לאחר המעבר, הריצו את אותן שלוש בשער החדש והשוו אותן לעותקים שנלכדו. תזוזה במספרי ההפעלות צפויה; סוג לקוח או בלוק webvpn שמופיע בצד אחד ולא בצד השני הוא הממצא, והוא שייך לרישום עם הסבר ולא להערת כרטיס. שמרו גם את הלכידות הגולמיות וגם את ההבדלים, כי הבודק הבא ירצה לראות מה הושווה. אצל ספק אחר המקבילה היא טבלת ההפעלות וייצוא הפרופילים של אותה פלטפורמה, בפורמט שלא יתאים, לכן השוו את השאלות שנשאלות ממנה ולא את הטקסט.

לאחר מכן מפו משתמשים והתקנים לכללי היעד, להרשאות המשאבים ולהתנהגות הדחייה. רישיון שמאפשר תכונה אינו תצורה שמפעילה אותה, והפער בין השניים הוא המקום שבו גרות רוב ההפתעות של ההעברה.

כתבו את מקרי הדחייה באותה הקפדה כמו המקרים המותרים. תוכנית שמוכיחה רק שמנהל יכול להתחבר בחנה את המסלול הקל ביותר ואף לא אחד מהגבולות.

קבלו בשני צדדיה של ההחלטה

לפני המעבר, הריצו תוכנית קבלה מאושרת על פני סוגי הלקוחות המיועדים, שיטות האימות והמשאבים. כללו התקן או זהות שחייבים להידחות, ואשרו איזה כלל בחר בו ומה ההפעלה שתיווצר יכולה להגיע אליו. סכמו על מקרי הדחייה לפני שנפתח חלון השינוי, כדי שאיש לא יוכל להשליך אותם בשקט תחת לחץ זמן. תוכנית בלי מקרה דחייה בחנה את המסלול המאושר ושום דבר אחר.

שמרו על מסלול חזרה ועל נתיב ניהול שאינו תלוי בדבר המועבר. שמרו את התצורה ואת רשומות הזהות באופן מאובטח, והשאירו מאחור הגדרות הצפנה מיושנות במקום לשאת אותן קדימה. לעולם אל תדביקו מזהי רישיון או רשומות משתמשים בהערות ציבוריות.

החתימו את הבעלים על הזכאות ועל מיפוי המדיניות יחד. הרישום המוגמר עונה על שתי שאלות בבת אחת: למה הארגון מורשה לפרוס, ואילו כללים באמת מקבלים ומגבילים את משתמשיו.