Régi IOS SSL VPN: csomag, profil, átjáró és munkamenet

Egy ügyféltelepítőt talál az útválasztó flash memóriáján, és arra következtet, hogy az SSL VPN konfigurálva van. Ez egyetlen összetevő a négyből, a maradék három dönti el, tud-e bárki csatlakozni. A régi IOS SSL VPN esetében az alkatrészek külön objektumok: az élügyfél csomagja, egy opcionális ügyfélprofil, a TLS-t lezáró WebVPN-átjáró, valamint a környezet és a csoportházirend, amelyek a hitelesítési és munkamenet-beállításokat tartják. Ha egyet kihagy, a hiba kívülről ugyanúgy néz ki.

A Cisco IOS SSL VPN konfigurációs példája, amely IOS 15.3-ra és AnyConnect 3.1-re épül, éppen azért hasznos, mert külön tartja ezeket az objektumokat. A régebbi megvalósítás leírásaként olvassa, nem pedig ajánlásként ezeknek a verzióknak a telepítésére.

Először a csomag: mi és mi nem

Az élcsomag egyetlen platformhoz szállít ügyfélszoftvert. Nem a profil és nem a figyelő, és a flash memórián fekvő fájl csak azt bizonyítja, hogy valaki feltöltött valamit. Nem bizonyítja, hogy egy munkamenet valaha használta, hogy a platform megfelel a felhasználó eszközének, vagy hogy az átjáró egyáltalán hivatkozik rá.

Erősítse meg a pontos fájlnevet, a megcélzott platformot és azt, hogy a konfiguráció hová mutat rá. A Windows-csomag semmit sem mond a telefonokról, és az a feltöltött fájl, amelyet egyetlen átjáróobjektum sem említ, tárolás, nem konfiguráció. Az a csomag, amely megfelel a platformnak, de soha nem kapcsolódik a szolgáltatáshoz, egyetlen felhasználónak sem lesz felajánlva. Az sem, amelynek fájlneve eltér a konfiguráció által várt értéktől.

Másodszor a profil: beállítások, nem szoftver

Egy opcionális ügyfélprofil olyan beállításokat hordoz, amelyeket a rendszergazda külön készít elő, például kiszolgálólistákat vagy ügyfélszabályokat. Összekeverni egy telepítővel gyakori, mert mindkettő hasonló nevű fájlként érkezik. Ha a telepítés profilt vár, annak hiánya azt változtatja meg, mit tesz az ügyfél csatlakozás után, nem pedig azt, hogy csatlakozik-e egyáltalán.

Leltározza mindkét terméket, és jegyezze fel, amelyikre az átjáró valóban hivatkozik. Ez az egyetlen sor megakadályozza a támogatási jegyek egy osztályát, ahol két ember különböző fájlokról beszél.

Harmadszor a figyelő és a TLS-identitás

Az átjáróobjektum határozza meg a címet és a portot, amelyet a külvilág elér, valamint a kézfogás során bemutatott tanúsítványt. Egy böngésző, amely eléri a portáloldalt, egy ügyfél, amely befejezi a hitelesítést, és egy alkalmazás, amely elér egy privát kiszolgálót, három külön megfigyelés, és csak az első a figyelő tesztje. Ha a kézfogás meghiúsul, semmi sem számít még lejjebb, ezért ellenőrizze a tanúsítványláncot és a nevet, mielőtt bármilyen házirendet szerkeszt.

Írja le valahová a várt identitást. A megújított vagy lecserélt tanúsítvány a leggyakoribb oka annak, hogy egy múlt hónapban működő telepítés ebben a hónapban leáll.

Negyedszer a környezet és a házirend a virtuális sablonjával

A környezet és a csoportházirend a hitelesítést a munkamenet viselkedéséhez köti: címtartomány, osztott útvonalak, DNS, és hogy a felhasználó mely belső hálózatokat érheti el. A dokumentált példa a környezetét egy virtuális sablonhoz csatolja, amely munkamenetenkénti felületviselkedést biztosít, és ezek a kiszolgálóoldali objektumok függetlenül léteznek mindattól, amit a felhasználó letölt.

Amikor a felhasználó hitelesít, de semmit sem ér el, a hiba általában itt van, nem az ügyfélben. Hasonlítsa össze a tartományt, az ügyfélnek adott útvonalakat és a továbbító forgalmat engedélyező ACL-t, és a felhasználó által jelentettel vesse össze, nem azzal, amit a tervezés szánt.

Sorrendben ellenőrizze, és álljon meg az első hibánál

Járja végig a négy összetevőt abban a sorrendben, ahogy egy kapcsolat találkozik velük: figyelő, hitelesítés, házirend, majd az ügyfél viselkedése. Erősítse meg a TLS-t a várt identitással, hitelesítsen egy megbízható fiókot, olvassa ki a munkamenetből a kiosztott címet és útvonalakat, és csak ezután hasonlítsa össze az ügyfél platformját a csomaggal. Megállni az első hibánál egyetlen változót tart játékban, és ez a különbség a javítás és a találgatás között.

Telefonhoz vagy a történelmi asztali példán kívüli bármely ügyfélhez a valóban támogatott ügyfél- és átjárószerződést szerezze be, ahelyett hogy feltételezné a Windows-munkafolyamat általánosíthatóságát. Egy kért protokoll módosítása nem tesz egy IKEv2-profilt ebből az SSL VPN szolgáltatásból, és egy asztali csomag telepítése semmit sem bizonyít a mobil támogatásról.