Firebox աշխարհագրական մերժում․ նախ գտեք VPN մուտքի փուլը

Մեկ ուրիշ երկրում ինչ-որ մեկը չի կարողանում միանալ, և առաջին բնազդը նայելն է այն կանոնին, որը մուտք է տալիս ներքին ռեսուրսներին։ Այդ կանոնը գործում է ընդունումից հետո, ուստի չի կարող լինել թունելը մերժողը։ Արգելափակող փուլը գտնվում է մուտքի ուղու ինչ-որ տեղ, և Firebox-ն ունի մեկից ավելի մուտքի ուղի՝ կախված VPN ծառայությունից։ Ստուգումները կատարեք հերթականությամբ և կանգնեք հենց որ դրանցից մեկը բացատրի մերժումը։

Ստուգում 1. անվանեք մուտքային ծառայությունը

SSL-ով Mobile VPN-ի, Access Portal-ի և TLS-ի վրա BOVPN-ի համար մուտքային մուտքը WatchGuard SSLVPN քաղաքականությունն է։ Կիրառեք նախատեսված սահմանափակումը այնտեղ՝ փաստացի կարգավորված ծառայության վրա, փոխարենը այն եզրակացնելու ավելի ուշ գործող օգտատիրոջ մուտքի կանոնից։

IPsec-ը գնում է այլ ուղիով։ Ներկառուցված IPSec քաղաքականությունը թույլատրում է արտաքին IPsec երթևեկությունը դեպի Firebox համապատասխան մասնաճյուղային և բջջային VPN ծառայությունների համար, և այն առաջնահերթ է ձեռքով ստեղծված IPSec քաղաքականության նկատմամբ։ Եթե ձեր հաճախորդը IKEv2 է, դուք այդ երկրորդ ուղու վրա եք, և SSLVPN քաղաքականությունն անտեղի է։

Այստեղ սխալվելը այս ոլորտում ամենահաճախ վատնված կեսօրն է․ խմբագրել քաղաքականություն, որը երբեք չի տեսնում փաթեթը, ապա եզրակացնել, որ սահմանափակումը չի աշխատում։

Ստուգում 2. կարդացեք մերժումը, ոչ թե տեսությունը

Կատարեք մեկ վերահսկվող թույլատրված փորձ և կապակցեք չորս բան՝ հաճախորդի հանրային աղբյուրի հասցեն, այն մուտքի ծառայությունը, որին այն հանդիպեց, համընկած քաղաքականությունը և գրանցամատյանում ցանկացած մերժման պատճառ։ WatchGuard-ի IKEv2-ի անսարքությունների վերացման ուղեցույցը նշում է, որ աշխարհագրական դիրքի որոշումը և փաթեթների լռելյայն մշակումը կարող են մերժել երթևեկությունը ներկառուցված քաղաքականության ընդունումից առաջ, ինչը նշանակում է, որ ձեր տեսած մերժումը կարող է անվանել փուլ, որը դուք չեք դիտարկել։

Երկրի դասակարգումը հետևում է դիտարկված ցանցային աղբյուրին։ Ռոումինգ օգտատերը, վերևի NAT-ը կամ այլ հաստատված ուղին կարող են փոխել այն, ինչ տեսնում է Firebox-ը, ուստի հաստատեք հասցեն, այլ ոչ թե օգտատիրոջ նկարագրությունն այն մասին, թե որտեղ է նա։ Խնդրեք հանրային հասցեն, որը տեսնում է հաճախորդը, և համեմատեք այն Firebox-ի գրանցամատյանի աղբյուրի հետ։ Երբ դրանք տարբերվում են, դասակարգումը հետևում է մի ուղու, որը ոչ ոք չի նշել։

Ստուգում 3. արդյո՞ք ներկառուցված քաղաքականությունը դեռ սեփականատերն է։

Եթե ձեռքով ստեղծված IPSec քաղաքականությունը կարծես անտեսվում է, ստուգեք՝ արդյոք ներկառուցվածը դեռ միացված է։ Ձեռքով կանոնը, որը ստվերվում է ավելի բարձր առաջնահերթության ներկառուցված կանոնով, և ձեռքով կանոնը, որը միակ ընդունումն է, տարբեր կարգավորումներ են՝ նույն տեսքն ունեցող միջերեսով։

Որոշեք, թե որն է պետք տիրի ուղուն։ Եթե ձեռքով քաղաքականությունն է, ներկառուցվածը պետք է անջատվի այդ երթևեկության համար, և հենց այնտեղից սկսվում է հաջորդ ստուգումը։

Ստուգում 4. պլանավորեք փոխարինումը մինչև անջատելը

Ներկառուցված IPSec քաղաքականության անջատումը հեռացնում է դրա ընդունումը տուժած VPN ծառայությունների համար։ Դա ներառում է մասնաճյուղային թունելներ, որոնց մասին գուցե չեք մտածում մեկ բջջային օգտատիրոջ կապը շտկելիս։

Նախ պլանավորեք ամբողջական փոխարինումը․ որ ծառայություններին է պետք ընդունում, ինչ աղբյուրի տիրույթներ են ստանում, և ինչպես կկառավարեք սարքը, եթե փոփոխությունը վատ ընթանա։ Բաց պահեք անկախ կառավարման և վերականգնման ուղի, որովհետև այստեղ սխալը կարող է հեռացնել այն թունելը, որը կօգտագործեիք այն շտկելու համար։ Գրանցեք վերականգնման քայլերը փոփոխության մատյանում, ներառյալ, թե ինչպես հասնել սարքին, եթե VPN ուղին անհետացել է։ Այնուհետև փորձարկեք թարմացումը, ոչ միայն առաջին կապը։

Ակտիվ կապը և ավելի ուշ վերաբանակցումը երկուսն էլ կարող են կախված լինել ընդունումից։ Փոփոխությունը, որն աշխատում է ձեր փորձարկած սեանսի համար և ձախողվում հաջորդ բանալու փոխարկման ժամանակ, ընդունման փոխարինման դասական արդյունք է առանց թարմացումը փորձարկելու։

Ստուգում 5. ինքնությունը առանձին պահեք տեղից

Աշխարհագրական դիրքը համատեքստ է ավելացնում մուտքի որոշմանը։ Այն չի հաստատում, թե ով է օգտատերը, և չպետք է փոխարինի դարպասի ինքնության ստուգումներին, հաշվի լիազորմանը կամ MFA-ին։

Եթե գործարար պահանջը միայն հաստատված վայրերից հաստատված օգտատերերն են, ձեզ պետք են երկու վերահսկիչները։ Ամբողջ երկիր ընդունող տեղորոշման կանոնը նույնականացման փոխարինող չէ, և արգելափակված երկրում նույնականացված օգտատերը քաղաքականության հարց է, ոչ թե սխալ։

Ստուգում 6. գրանցեք այն և ստուգեք երկու ուղիները

Գրեք ծառայությունը, մուտքի քաղաքականությունը, նախատեսված տեղորոշման շրջանակը, բացառությունները և վերականգնման պատասխանատուին։ Այնուհետև փոփոխությունից հետո փորձարկեք բջջային ուղին և առնվազն մեկ կայքի ուղի, որպեսզի սահմանափակումը մնա կապված այն ծառայությանը, որի համար նախատեսված էր։

Վերջապես, նորից կարդացեք այն մերժումը, որով սկսել եք։ Եթե այն տեղորոշման մերժումից վերածվել է նույնականացման կամ լիազորման ձախողման, մուտքի խնդիրը լուծված է, և այժմ տեսանելի է մեկ այլը։ Վերևում նկարագրված փուլերի հերթականության համար WatchGuard-ի ուղեցույցը IKEv2 մերժումների վերաբերյալ-ը հղումն է։