पुराना IOS SSL VPN: पैकेज, प्रोफ़ाइल, गेटवे और सत्र

आप राउटर के फ़्लैश पर क्लाइंट इंस्टॉलर पाते हैं और निष्कर्ष निकालते हैं कि SSL VPN कॉन्फ़िगर है। यह चार में से एक घटक है, और बाकी तीन तय करते हैं कि कोई जुड़ सकता है या नहीं। पुराने IOS SSL VPN में हिस्से अलग-अलग ऑब्जेक्ट हैं: हेडएंड क्लाइंट पैकेज, एक वैकल्पिक क्लाइंट प्रोफ़ाइल, TLS समाप्त करने वाला WebVPN गेटवे, और वह कॉन्टेक्स्ट तथा समूह नीति जो प्रमाणीकरण और सत्र सेटिंग्स रखते हैं। एक छूट जाए तो बाहर से विफलता एक जैसी दिखती है।

Cisco का IOS SSL VPN कॉन्फ़िगरेशन उदाहरण, जो IOS 15.3 और AnyConnect 3.1 पर बना है, ठीक इसलिए उपयोगी है क्योंकि वह इन ऑब्जेक्ट को अलग रखता है। इसे उस पुराने कार्यान्वयन के वर्णन के रूप में पढ़ें, उन संस्करणों को तैनात करने की सिफ़ारिश के रूप में नहीं।

पहला, पैकेज: यह क्या है और क्या नहीं

हेडएंड पैकेज एक प्लेटफ़ॉर्म के लिए क्लाइंट सॉफ़्टवेयर देता है। यह न प्रोफ़ाइल है और न श्रोता, और फ़्लैश में पड़ी एक फ़ाइल केवल यह साबित करती है कि किसी ने कुछ अपलोड किया। यह साबित नहीं करती कि किसी सत्र ने कभी इसका उपयोग किया, कि प्लेटफ़ॉर्म उपयोगकर्ता के डिवाइस से मेल खाता है, या कि गेटवे इसका उल्लेख भी करता है।

सटीक फ़ाइल नाम, वह प्लेटफ़ॉर्म जिसे यह लक्षित करता है और वह जगह जहाँ कॉन्फ़िगरेशन इसकी ओर इशारा करता है, की पुष्टि करें। Windows पैकेज फ़ोन के बारे में कुछ नहीं बताता, और ऐसी अपलोड की गई फ़ाइल जिसका कोई गेटवे ऑब्जेक्ट उल्लेख नहीं करता, संग्रहण है, कॉन्फ़िगरेशन नहीं। जो पैकेज प्लेटफ़ॉर्म से मेल खाता है पर कभी सेवा से जुड़ता नहीं, वह किसी उपयोगकर्ता को नहीं दिया जाएगा। वह भी नहीं जिसका फ़ाइल नाम कॉन्फ़िगरेशन के अपेक्षित मान से अलग है।

दूसरा, प्रोफ़ाइल: सॉफ़्टवेयर नहीं, सेटिंग्स

एक वैकल्पिक क्लाइंट प्रोफ़ाइल ऐसी सेटिंग्स रखता है जो व्यवस्थापक अलग से तैयार करता है, जैसे सर्वर सूचियाँ या क्लाइंट प्राथमिकताएँ। इसे इंस्टॉलर से भ्रमित करना सामान्य है क्योंकि दोनों समान नाम की फ़ाइलों के रूप में आते हैं। यदि तैनाती प्रोफ़ाइल की अपेक्षा करती है, तो उसका अभाव यह बदलता है कि क्लाइंट जुड़ने के बाद क्या करता है, यह नहीं कि वह जुड़ता है या नहीं।

दोनों कलाकृतियों की सूची बनाएँ और दर्ज करें कि गेटवे वास्तव में किसका उल्लेख करता है। वह एक पंक्ति सहायता टिकटों के उस वर्ग को रोकती है जहाँ दो लोग अलग-अलग फ़ाइलों की बात कर रहे होते हैं।

तीसरा, श्रोता और TLS पहचान

गेटवे ऑब्जेक्ट वह पता और पोर्ट निर्धारित करता है जहाँ बाहरी दुनिया पहुँचती है और वह प्रमाणपत्र जो हैंडशेक के दौरान प्रस्तुत होता है। ब्राउज़र का पोर्टल पृष्ठ तक पहुँचना, क्लाइंट का प्रमाणीकरण पूरा करना और एप्लिकेशन का निजी सर्वर तक पहुँचना तीन अलग अवलोकन हैं, और केवल पहला ही श्रोता परीक्षण है। हैंडशेक विफल होने पर नीचे की कोई भी चीज़ अभी मायने नहीं रखती, इसलिए कोई भी नीति संपादित करने से पहले प्रमाणपत्र श्रृंखला और नाम सत्यापित करें।

अपेक्षित पहचान कहीं लिख लें। नवीनीकृत या बदला गया प्रमाणपत्र सबसे आम कारण है कि पिछले महीने काम करने वाली तैनाती इस महीने काम करना बंद कर देती है।

चौथा, कॉन्टेक्स्ट और नीति उसके वर्चुअल टेम्पलेट के साथ

कॉन्टेक्स्ट और समूह नीति प्रमाणीकरण को सत्र के व्यवहार से बाँधते हैं: पता पूल, विभाजित रूट, DNS, और वे आंतरिक नेटवर्क जहाँ उपयोगकर्ता पहुँच सकता है। प्रलेखित उदाहरण अपने कॉन्टेक्स्ट को एक वर्चुअल टेम्पलेट से जोड़ता है जो प्रति-सत्र इंटरफ़ेस व्यवहार देता है, और वे सर्वर-पक्ष ऑब्जेक्ट उपयोगकर्ता के किसी भी डाउनलोड से स्वतंत्र रूप से मौजूद हैं।

जब उपयोगकर्ता प्रमाणित होता है पर कहीं पहुँचता नहीं, तो दोष आमतौर पर क्लाइंट में नहीं, यहीं होता है। पूल, क्लाइंट को दिए गए रूट और आगे का ट्रैफ़िक अनुमत करने वाले ACL की तुलना करें, और उन्हें डिज़ाइन के इरादे से नहीं, उपयोगकर्ता की रिपोर्ट से मिलाएँ।

क्रम से सत्यापित करें और पहली विफलता पर रुकें

चारों घटकों से उस क्रम में गुज़रें जिस क्रम में कोई कनेक्शन उनसे मिलता है: श्रोता, प्रमाणीकरण, नीति, फिर क्लाइंट का व्यवहार। अपेक्षित पहचान के साथ TLS की पुष्टि करें, विश्वसनीय खाते का प्रमाणीकरण करें, सत्र से आवंटित पता और रूट पढ़ें, और उसके बाद ही क्लाइंट के प्लेटफ़ॉर्म की पैकेज से तुलना करें। पहली विफलता पर रुकना एक ही चर को खेल में रखता है, और यही मरम्मत और अनुमान के बीच का अंतर है।

फ़ोन या उस ऐतिहासिक डेस्कटॉप उदाहरण से बाहर के किसी भी क्लाइंट के लिए, Windows कार्यप्रवाह के सामान्यीकरण की मान्यता के बजाय वास्तविक समर्थित क्लाइंट और गेटवे अनुबंध प्राप्त करें। अनुरोधित प्रोटोकॉल बदलने से IKEv2 प्रोफ़ाइल इस SSL VPN सेवा में नहीं बदलेगा, और डेस्कटॉप पैकेज स्थापित करना मोबाइल समर्थन के बारे में कुछ साबित नहीं करता।