VPN migrálása: licencek, funkciók és szabályzat egyetlen nyilvántartásban

A munkamenetek, amelyek még működnek a régi koncentrátoron, a migráció majdnem befejezettségének bizonyítékának tűnnek. Pedig csak egyetlen leltári tétel, éspedig a legkevésbé érdekes. Amire a váltásnak szüksége van, az egy nyilvántartás, amely a célátjárót, a támogatott klienst, a megvásárolt jogosultságot és az érvényesített belépési szabályzatot egyetlen, valaki által birtokolt artefaktumba köti. Nélküle a migráció feltevések sorozata, amelyek külön-külön észszerűnek látszanak.

Négy oszlop, nem egy ellenőrzőlista

Hogy mit bír el a hardver, mit enged a szerződés és mit tesz lehetővé a szabálykészlet, három külön kérdés, és összekeverésük olyan tervet ad, amelyet senki nem tud auditálni. Tartsa őket külön oszlopokban, és követelje meg, hogy mindegyik hivatkozzon a forrására. Egy eszköz, amely elfogad egy kapcsolatot, bizonyítja, hogy az eszköz tud csatlakozni, és semmit nem magyaráz a funkciók terjedelméről vagy a számítási alapról. Három egymásnak ellentmondó oszlop sokkal hasznosabb, mint egy magabiztosnak hangzó bekezdés.

A nyilvántartás akkor kész, ha mind a négy oszlopot olyan tölti ki, aki jogosult kitölteni őket. A rossz tulajdonos által aláírt oszlop dátumos pletyka.

Platform és jogosultság

Rögzítse a támogatott átjárót, a kliens operációs rendszereit, a hitelesítési útvonalat és a kezelőeszközöket. Ne tartsa életben az elavult klienst csak azért, mert a régi profilja még megnyílik, hiszen az a profil olyan kompatibilitási állítás, amelyet a szállító talán már nem teljesít. Hasonlítsa össze a jelenlegi támogatási nyilatkozatot a bevezetni kívánt kiadással.

A jogosultságnál rögzítse a terméket, a licenc típusát, a futamidőt és a számítási alapot, majd egyeztesse a fiók tulajdonosán keresztül. A jogosultságok történelmi munkamenet-számlálóból való levezetése az az út, ahogyan egy szervezet a hiányt a váltás után fedezi fel, nem előtte.

A szállítók rendelési útmutatói megmutatják, miért számítanak ezek a különbségek. A Cisco Secure Client rendelési útmutatója például elkülöníti az Advantage, Premier és VPN Only szinteket, mindegyiket saját mérőszámmal és funkcióterjedelemmel. A jelenlegi megállapodást használja, ne fordítson mechanikusan egy régi címkét.

Funkciók és érvényesített szabályzat

Sorolja fel a bevezetéshez ténylegesen szükséges képességeket: engedélyezett alagútmódok, eszközértékelés, hitelesítési integráció és minden egyéb modul. Ellenőrizze a támogatást és a jogosultságot mindegyiknél külön, mert egy funkció lehet támogatott és licenc nélküli, vagy licencelt és a választott kiadáson nem támogatott. Csak az a sor számít, amely mindkét kérdésre igent mond.

Ha a cél egy ASA, a funkcióoszlopot az eszközről olvassák le, nem szerződésből, ezért rögzítse az átjárót a váltás napja előtt. A show vpn-sessiondb summary az élő munkamenetek leltárát és azokat a számokat adja, amelyekhez a jogosultságát mérjük, a show vpn-sessiondb detail anyconnect megmutatja, milyen klienstípust és profilt használt ténylegesen az egyes besorolt munkamenet, a show running-config webvpn pedig rögzíti az átjáró konfigurációját, amelytől ezek a munkamenetek függenek, és ez a nyilvántartás egyetlen része, amelyet egyetlen licencdokumentum sem tartalmazhat.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

A váltás után futtassa ugyanazt a hármat az új átjárón, és hasonlítsa össze a rögzített másolatokkal. A munkamenetszámok mozgása várható; egy klienstípus vagy egy webvpn blokk, amely az egyik oldalon megjelenik, a másikon nem, az a lelet, és magyarázattal a nyilvántartásba tartozik, nem egy ticket megjegyzésébe. Őrizze meg a nyers rögzítéseket és a különbségeket is, mert a következő ellenőr látni akarja, mit hasonlítottak össze. Egy másik szállítónál a megfelelő az adott platform saját munkamenet-táblája és profil-exportja, olyan formátumban, amely nem fog egyezni, ezért a neki feltett kérdéseket hasonlítsa össze, nem a szöveget.

Ezután rendelje a felhasználókat és eszközöket a cél szabályaihoz, erőforrás-engedélyeihez és elutasítási viselkedéséhez. Egy funkciót lehetővé tevő licenc nem olyan konfiguráció, amely gyakorolja is azt, és a kettő közötti résben él a migrációs meglepetések többsége.

Ugyanolyan gonddal írja le az elutasítási eseteket, mint az engedélyezetteket. Egy terv, amely csak azt bizonyítja, hogy egy adminisztrátor tud csatlakozni, a legkönnyebb utat tesztelte, és egyetlen határt sem.

Fogadja el a döntés mindkét oldalán

A váltás előtt futtasson jóváhagyott elfogadási tervet a tervezett klienstípusokon, a hitelesítési módszereken és az erőforrásokon. Vegyen bele egy eszközt vagy identitást, amelyet el kell utasítani, és erősítse meg, melyik szabály választotta ki, és a létrejövő munkamenet mit érhet el. A változási ablak megnyílása előtt állapodjanak meg az elutasítási esetekben, hogy senki ne hagyhassa ki őket csendben időnyomás alatt. Egy terv elutasítási eset nélkül a boldog utat tesztelte, és semmi mást.

Tartson fenn visszaállítási utat és olyan kezelési útvonalat, amely nem függ a migrált dologtól. Őrizze meg biztonságosan a konfigurációt és az identitásnyilvántartásokat, és hagyja hátra az elavult kriptográfiai beállításokat ahelyett, hogy továbbvinné őket. Soha ne illesszen licencazonosítókat vagy felhasználói nyilvántartásokat nyilvános jegyzetekbe.

Kérje meg a tulajdonost, hogy a jogosultságot és a szabályzat-leképezést együtt írja alá. A kész nyilvántartás egyszerre két kérdésre válaszol: mire jogosult a szervezet bevezetni, és mely szabályok engedik be és korlátozzák ténylegesen a felhasználóit.