Firebox geolokacijska odbijenica: prvo pronađite fazu ulaza VPN

Neko u drugoj državi ne može se povezati, a prva pomisao je pogledati pravilo koje daje pristup unutrašnjim resursima. To pravilo radi nakon prijema, pa ne može biti ono što odbija tunel. Faza koja blokira nalazi se negdje na ulaznom putu, a Firebox ima više od jednog ulaznog puta zavisno od VPN servisa. Izvedite provjere po redu i zaustavite se čim jedna od njih objasni odbijenicu.

Provjera 1: imenujte dolazni servis

Za Mobile VPN sa SSL, Access Portal i BOVPN preko TLS dolazni ulaz je WatchGuard SSLVPN pravilo. Primijenite namjeravano ograničenje tamo, na stvarno konfiguriranom servisu, umjesto da ga izvodite iz pravila za pristup korisnika koje radi kasnije.

IPsec ide drugim putem. Ugrađeno IPSec pravilo dopušta vanjski IPsec saobraćaj prema Fireboxu za odgovarajuće branch i mobilne VPN servise i ima prednost nad ručno kreiranim IPSec pravilom. Ako je vaš klijent IKEv2, vi ste na tom drugom putu i SSLVPN pravilo je nevažno.

Pogriješiti ovdje je najčešće uzalud izgubljeno poslijepodne u ovoj oblasti: uređivanje pravila koje nikada ne vidi paket, a zatim zaključak da ograničenje ne radi.

Provjera 2: čitajte odbijenicu, a ne teoriju

Napravite jedan kontrolirani dopušteni pokušaj i povežite četiri stvari: javnu izvornu adresu klijenta, dolazni servis koji je pogodio, pravilo koje se poklopilo i bilo koji razlog odbijanja u dnevniku. WatchGuardove smjernice za rješavanje problema s IKEv2 navode da geolokacija i zadano rukovanje paketima mogu odbiti saobraćaj prije prijema ugrađenog pravila, što znači da odbijenica koju vidite može navesti fazu koju niste razmatrali.

Klasifikacija države prati opaženi mrežni izvor. Korisnik u romingu, NAT iznad ili drugi odobreni put mogu promijeniti ono što Firebox vidi, zato potvrdite adresu, a ne korisnikov opis gdje se nalazi. Zatražite javnu adresu koju klijent vidi i uporedite je s izvorom u Firebox dnevniku. Kada se razlikuju, klasifikacija prati put koji niko nije spomenuo.

Provjera 3: je li ugrađeno pravilo još vlasnik?

Ako se čini da se ručno IPSec pravilo ignorira, provjerite je li ugrađeno još omogućeno. Ručno pravilo koje zasjenjuje ugrađeno pravilo višeg prioriteta i ručno pravilo koje je jedini prijem različite su konfiguracije s istovjetnim sučeljem.

Odlučite koje od njih želite da posjeduje put. Ako je to ručno pravilo, ugrađeno se mora onemogućiti za taj saobraćaj i tu počinje sljedeća provjera.

Provjera 4: planirajte zamjenu prije onemogućavanja

Onemogućavanje ugrađenog IPSec pravila uklanja njegov prijem za pogođene VPN servise. To uključuje branch tunele na koje možda ne mislite dok popravljate vezu jednog mobilnog korisnika.

Prvo planirajte potpunu zamjenu: koji servisi trebaju prijem, koje izvorne opsege dobijaju i kako ćete upravljati uređajem ako promjena krene po zlu. Držite neovisni put za upravljanje i oporavak otvoren, jer greška ovdje može ukloniti tunel koji biste koristili da je popravite. Zapišite korake oporavka u zapis o promjeni, uključujući kako doći do uređaja ako VPN puta nema. Zatim testirajte obnavljanje, ne samo prvu vezu.

Aktivna povezanost i kasnije ponovno pregovaranje mogu zavisiti od prijema. Promjena koja radi za testiranu sesiju, a zakaže pri sljedećoj zamjeni ključa, klasičan je ishod zamjene prijema bez testiranja obnavljanja.

Provjera 5: držite identitet odvojeno od lokacije

Geolokacija dodaje kontekst ulaznoj odluci. Ona ne utvrđuje ko je korisnik i ne smije zamijeniti provjere identiteta pristupnika, autorizaciju računa ili MFA.

Ako poslovni zahtjev podrazumijeva samo odobrene korisnike s odobrenih mjesta, potrebne su vam obje kontrole. Pravilo lokacije koje dopušta cijelu državu nije zamjena za autentifikaciju, a autentificiran korisnik u blokiranoj državi pitanje je pravila, a ne greška.

Provjera 6: zapišite to i provjerite oba puta

Zapišite servis, ulazno pravilo, namjeravani opseg lokacije, izuzetke i vlasnika oporavka. Zatim testirajte mobilni put i barem jedan put do lokacije nakon promjene, kako bi ograničenje ostalo vezano za servis za koji je namijenjeno.

Naposljetku, ponovno pročitajte odbijenicu s kojom ste počeli. Ako se promijenila iz odbijenice zbog lokacije u neuspjeh autentifikacije ili autorizacije, ulazni problem je riješen i sada je vidljiv drugi. WatchGuardove smjernice za odbijanje IKEv2 je referenca za redoslijed faza opisan gore.