Հին IOS SSL VPN՝ փաթեթ, պրոֆիլ, դարպաս և նստաշրջան

Դուք գտնում եք հաճախորդի տեղադրիչ երթուղիչի flash հիշողության վրա և եզրակացնում, որ SSL VPN-ը կարգավորված է։ Դա չորս բաղադրիչներից մեկն է, իսկ մնացած երեքը որոշում են՝ կարո՞ղ է ինչ-որ մեկը միանալ։ Հին IOS SSL VPN-ում մասերը առանձին օբյեկտներ են՝ գլխամասի հաճախորդի փաթեթը, կամընտիր հաճախորդի պրոֆիլը, TLS-ը վերջացնող WebVPN դարպասը, և համատեքստը՝ խմբային քաղաքականության հետ, որոնք պահում են նույնականացման և նստաշրջանի կարգավորումները։ Բաց թողեք մեկը, և դրսից խափանումը նույն տեսքն ունի։

Cisco-ի IOS SSL VPN կարգավորման օրինակը, կառուցված IOS 15.3-ի և AnyConnect 3.1-ի վրա, օգտակար է հենց այն պատճառով, որ այդ օբյեկտներն առանձին է պահում։ Կարդացեք այն որպես այդ ավելի հին իրականացման նկարագրություն, ոչ որպես այդ տարբերակները տեղակայելու խորհուրդ։

Առաջինը՝ փաթեթը. ինչ է այն և ինչ չէ

Գլխամասի փաթեթը հաճախորդի ծրագրաշար է մատակարարում մեկ հարթակի համար։ Այն ոչ պրոֆիլն է, ոչ լսիչը, և flash հիշողության վրա ընկած ֆայլը միայն ապացուցում է, որ ինչ-որ մեկը ինչ-որ բան է վերբեռնել։ Այն չի ապացուցում, որ որևէ նստաշրջան երբևէ օգտագործել է այն, որ հարթակը համապատասխանում է օգտատիրոջ սարքին, կամ որ դարպասն ընդհանրապես հղում է անում դրան։

Հաստատեք ֆայլի ճշգրիտ անվանումը, թիրախ հարթակը և այն տեղը, ուր կարգավորումը մատնանշում է։ Windows-ի փաթեթը ոչինչ չի ասում հեռախոսների մասին, և վերբեռնված ֆայլը, որը ոչ մի դարպասային օբյեկտ չի հիշատակում, պահոց է, ոչ թե կարգավորում։ Այն փաթեթը, որը համապատասխանում է հարթակին, բայց երբեք չի կապվում ծառայությանը, ոչ մի օգտատիրոջ չի առաջարկվի։ Նաև այն, որի ֆայլի անունը տարբերվում է կարգավորման սպասած արժեքից։

Երկրորդը՝ պրոֆիլը. կարգավորումներ, ոչ ծրագրաշար

Կամընտիր հաճախորդի պրոֆիլը կրում է կարգավորումներ, որոնք ադմինիստրատորը պատրաստում է առանձին, օրինակ՝ սերվերների ցանկեր կամ հաճախորդի նախապատվություններ։ Այն տեղադրիչի հետ շփոթելը սովորական է, որովհետև երկուսն էլ գալիս են նման անուններով ֆայլերի տեսքով։ Եթե տեղակայումը պրոֆիլ է ակնկալում, դրա բացակայությունը փոխում է այն, ինչ հաճախորդն անում է միանալուց հետո, ոչ թե այն՝ միանում է արդյոք։

Գույքագրեք երկու արտեֆակտներն էլ և գրանցեք, թե դարպասն իրականում որին է հղում։ Այդ մեկ տողը կանխում է աջակցության տոմսերի մի ամբողջ դաս, որտեղ երկու մարդ տարբեր ֆայլերի մասին են խոսում։

Երրորդը՝ լսիչը և TLS ինքնությունը

Դարպասի օբյեկտը սահմանում է հասցեն և պորտը, որին հասնում է արտաքին աշխարհը, և ձեռքսեղմման ընթացքում ներկայացվող վկայականը։ Դիտարկիչի՝ պորտալի էջին հասնելը, հաճախորդի՝ նույնականացումն ավարտելը և հավելվածի՝ մասնավոր սերվերին հասնելը երեք առանձին դիտարկումներ են, և միայն առաջինն է լսիչի փորձարկում։ Երբ ձեռքսեղմումը ձախողվում է, ներքևում դեռ ոչինչ նշանակություն չունի, ուստի ստուգեք վկայականների շղթան և անունը՝ նախքան որևէ քաղաքականություն խմբագրելը։

Գրի առեք սպասվող ինքնությունը ինչ-որ տեղ։ Թարմացված կամ փոխարինված վկայականը ամենահաճախ պատճառն է, որ անցյալ ամիս աշխատած տեղակայումն այս ամիս դադարում է աշխատել։

Չորրորդը՝ համատեքստը և քաղաքականությունը իր վիրտուալ ձևանմուշով

Համատեքստը և խմբային քաղաքականությունը նույնականացումը կապում են նստաշրջանի վարքագծին՝ հասցեների լողավազան, բաժանված երթուղիներ, DNS և ներքին ցանցերը, որոնց օգտատերը կարող է հասնել։ Փաստագրված օրինակը իր համատեքստը կցում է վիրտուալ ձևանմուշի, որը տալիս է ինտերֆեյսի վարքագիծ յուրաքանչյուր նստաշրջանի համար, և այդ սերվերային օբյեկտները գոյություն ունեն անկախ այն ամենից, ինչ օգտատերը ներբեռնում է։

Երբ օգտատերը նույնականացվում է, բայց ոչ մի տեղ չի հասնում, մեղքը սովորաբար այստեղ է, ոչ թե հաճախորդում։ Համեմատեք լողավազանը, հաճախորդին տրված երթուղիները և առաջընթաց երթևեկությունը թույլատրող ACL-ը, և ստուգեք դրանք օգտատիրոջ հաղորդածի հետ, ոչ թե նախագծի մտադրածի հետ։

Ստուգեք հերթականությամբ և կանգ առեք առաջին խափանման վրա

Անցեք չորս բաղադրիչներով այն հերթականությամբ, որով կապը հանդիպում է նրանց՝ լսիչ, նույնականացում, քաղաքականություն, ապա հաճախորդի վարքագիծ։ Հաստատեք TLS-ը սպասվող ինքնությամբ, նույնականացրեք վստահելի հաշիվ, կարդացեք նշանակված հասցեն և երթուղիները նստաշրջանից, և միայն դրանից հետո համեմատեք հաճախորդի հարթակը փաթեթի հետ։ Առաջին խափանման վրա կանգ առնելը մեկ փոփոխական է պահում խաղի մեջ, և դա է վերանորոգման ու գուշակության տարբերությունը։

Հեռախոսի կամ այդ պատմական աշխատասեղանի օրինակից դուրս ցանկացած հաճախորդի համար ձեռք բերեք իրական աջակցվող հաճախորդի և դարպասի պայմանագիրը՝ փոխարենը ենթադրելու, որ Windows-ի աշխատահոսքը ընդհանրացվում է։ Պահանջվող արձանագրության փոփոխությունը IKEv2 պրոֆիլը չի դարձնի այս SSL VPN ծառայությունը, և աշխատասեղանի փաթեթի տեղադրումը ոչինչ չի ապացուցում բջջային աջակցության մասին։