Stari IOS SSL VPN: paket, profil, pristupnik i sesija

Nađete klijentski instalater na flash memoriji usmjerivača i zaključite da je SSL VPN konfiguriran. To je jedna komponenta od četiri, a preostale tri odlučuju može li se itko povezati. Kod starog IOS SSL VPN dijelovi su odvojeni objekti: klijentski paket na čelu, neobavezni klijentski profil, WebVPN pristupnik koji završava TLS, te kontekst i grupna politika koji drže postavke provjere identiteta i sesije. Propustite jedno i kvar izvana izgleda isto.

Ciscov primjer konfiguracije IOS SSL VPN, izgrađen na IOS 15.3 s AnyConnect 3.1, koristan je upravo zato što te objekte drži odvojeno. Čitajte ga kao opis te starije implementacije, a ne kao preporuku da te verzije uvozite.

Prvo, paket: što jest i što nije

Paket na čelu isporučuje klijentski softver za jednu platformu. On nije ni profil ni slušač, a datoteka koja leži na flash memoriji dokazuje samo da je netko nešto prenio. On ne dokazuje da ga je sesija ikada koristila, da se platforma poklapa s korisnikovim uređajem ili da se pristupnik uopće na njega poziva.

Provjerite točan naziv datoteke, platformu kojoj je namijenjen i mjesto na koje konfiguracija pokazuje. Windows paket ne govori ništa o telefonima, a prenesena datoteka koju nijedan objekt pristupnika ne spominje je pohrana, a ne konfiguracija. Paket koji odgovara platformi ali nikada nije povezan sa servisom neće biti ponuđen nijednom korisniku. Niti onaj čiji se naziv datoteke razlikuje od vrijednosti koju konfiguracija očekuje.

Drugo, profil: postavke, a ne softver

Neobavezni klijentski profil nosi postavke koje administrator priprema odvojeno, poput popisa poslužitelja ili klijentskih preferencija. Miješanje s instalaterom često je jer oboje dolazi kao datoteke sa sličnim nazivima. Ako implementacija očekuje profil, njegovo odsustvo mijenja ono što klijent radi nakon povezivanja, a ne to hoće li se uopće povezati.

Popišite oba artefakta i zabilježite na koji se pristupnik stvarno poziva. Taj jedan red sprječava čitavu klasu zahtjeva podršci u kojima dvoje ljudi raspravljaju o različitim datotekama.

Treće, slušač i TLS identitet

Objekt pristupnika definira adresu i port do kojih vanjski svijet dolazi i certifikat koji se predstavlja tijekom rukovanja. Preglednik koji dolazi do portala, klijent koji završava provjeru identiteta i aplikacija koja dolazi do privatnog poslužitelja tri su odvojena zapažanja, a samo je prvo test slušača. Kada rukovanje ne uspije, ništa nizvodno još nije važno, pa provjerite lanac certifikata i naziv prije nego što uredite bilo koju politiku.

Zapišite očekivani identitet negdje. Obnovljen ili zamijenjen certifikat najčešći je razlog zašto implementacija koja je radila prošlog mjeseca prestane raditi ovog.

Četvrto, kontekst i politika sa svojim virtualnim predloškom

Kontekst i grupna politika vežu provjeru identiteta za ponašanje sesije: bazen adresa, razdvojene rute, DNS i unutarnje mreže do kojih korisnik može doći. Dokumentirani primjer pripaja svoj kontekst virtualnom predlošku koji pruža ponašanje sučelja za svaku sesiju, a ti objekti na strani poslužitelja postoje neovisno o svemu što korisnik preuzme.

Kada se korisnik prijavi ali do ničega ne dođe, greška obično leži ovdje, a ne u klijentu. Usporedite bazen, rute koje su klijentu dodijeljene i ACL koji dopušta daljnji promet, i provjerite ih prema onome što korisnik prijavljuje, a ne prema onome što je dizajn namjeravao.

Provjeravajte redom i zaustavite se na prvom kvaru

Prođite kroz četiri komponente redom kojim ih veza susreće: slušač, provjera identiteta, politika, zatim ponašanje klijenta. Potvrdite TLS s očekivanim identitetom, prijavite provjereni račun, pročitajte dodijeljenu adresu i rute iz sesije i tek onda usporedite platformu klijenta s paketom. Zaustavljanje na prvom kvaru drži jednu promjenjivu u igri, a to je razlika između popravka i nagađanja.

Za telefon ili bilo koji klijent izvan tog povijesnog primjera za stolno računalo, pribavite stvarni podržani ugovor klijenta i pristupnika umjesto da pretpostavljate da se Windows tijek rada generalizira. Promjena zatraženog protokola neće pretvoriti IKEv2 profil u ovaj SSL VPN servis, a instalacija stolnog paketa ne dokazuje ništa o mobilnoj podršci.