Penolakan geolokasi Firebox: temukan dulu tahap masuk VPN

Seseorang di negara lain tidak dapat terhubung, dan naluri pertama adalah melihat aturan yang memberikan akses ke sumber daya internal. Aturan itu berjalan setelah penerimaan, jadi aturan itu tidak mungkin yang menolak terowongan. Tahap yang memblokir ada di suatu tempat di jalur masuk, dan Firebox memiliki lebih dari satu jalur masuk tergantung layanan VPN. Kerjakan pemeriksaan secara berurutan dan berhenti begitu salah satunya menjelaskan penolakan tersebut.

Pemeriksaan 1: sebutkan layanan yang masuk

Untuk Mobile VPN dengan SSL, Access Portal, dan BOVPN di atas TLS, entri yang masuk adalah kebijakan WatchGuard SSLVPN. Terapkan pembatasan yang dimaksud di sana, pada layanan yang benar-benar dikonfigurasi, alih-alih menyimpulkannya dari aturan akses pengguna yang berjalan belakangan.

IPsec menempuh jalur berbeda. Kebijakan IPSec bawaan mengizinkan lalu lintas IPsec eksternal ke Firebox untuk layanan cabang dan VPN seluler yang berlaku, dan kebijakan ini lebih diutamakan daripada kebijakan IPSec yang dibuat secara manual. Jika klien Anda IKEv2, Anda berada di jalur kedua itu, dan kebijakan SSLVPN tidak relevan.

Salah di sini adalah sore yang paling sering terbuang di bidang ini: menyunting kebijakan yang tidak pernah melihat paketnya, lalu menyimpulkan bahwa pembatasan itu tidak berfungsi.

Pemeriksaan 2: baca penolakannya, bukan teorinya

Lakukan satu percobaan diizinkan yang terkendali dan korelasikan empat hal: alamat sumber publik klien, layanan masuk yang dicapai, kebijakan yang cocok, dan alasan penolakan apa pun di log. Panduan pemecahan masalah IKEv2 WatchGuard mencatat bahwa geolokasi dan penanganan paket bawaan dapat menolak lalu lintas sebelum penerimaan kebijakan bawaan, yang berarti penolakan yang Anda lihat mungkin menyebutkan tahap yang belum Anda pertimbangkan.

Klasifikasi negara mengikuti sumber jaringan yang diamati. Pengguna roaming, NAT di hulu, atau jalur disetujui yang berbeda dapat mengubah apa yang dilihat Firebox, jadi pastikan alamatnya, bukan deskripsi pengguna tentang lokasinya. Mintalah alamat publik yang dilihat klien, dan bandingkan dengan sumber di log Firebox. Bila keduanya berbeda, klasifikasi mengikuti jalur yang tidak disebutkan siapa pun.

Pemeriksaan 3: apakah kebijakan bawaan masih menjadi pemiliknya?

Jika kebijakan IPSec manual tampak diabaikan, periksa apakah kebijakan bawaan masih diaktifkan. Aturan manual yang tertutup oleh aturan bawaan berprioritas lebih tinggi dan aturan manual yang menjadi satu-satunya penerimaan adalah konfigurasi berbeda dengan antarmuka yang tampak serupa.

Putuskan mana yang Anda maksudkan memiliki jalur itu. Jika kebijakan manual, kebijakan bawaan harus dinonaktifkan untuk lalu lintas itu, dan di situlah pemeriksaan berikutnya dimulai.

Pemeriksaan 4: rencanakan penggantian sebelum menonaktifkan

Menonaktifkan kebijakan IPSec bawaan menghapus penerimaannya untuk layanan VPN yang terdampak. Itu termasuk terowongan cabang yang mungkin tidak Anda pikirkan saat memperbaiki koneksi satu pengguna seluler.

Rencanakan penggantian lengkap terlebih dahulu: layanan mana yang memerlukan penerimaan, cakupan sumber mana yang mereka dapatkan, dan bagaimana Anda akan mengelola perangkat jika perubahan berjalan salah. Jaga jalur manajemen dan pemulihan yang independen tetap terbuka, karena kesalahan di sini dapat menghapus terowongan yang akan Anda gunakan untuk memperbaikinya. Catat langkah pemulihan dalam catatan perubahan, termasuk cara mencapai perangkat jika jalur VPN hilang. Lalu uji pembaruan, bukan hanya koneksi pertama.

Konektivitas aktif dan negosiasi ulang berikutnya keduanya dapat bergantung pada penerimaan. Perubahan yang berhasil untuk sesi yang Anda uji dan gagal pada pergantian kunci berikutnya adalah hasil klasik dari mengganti penerimaan tanpa menguji pembaruan.

Pemeriksaan 5: pisahkan identitas dari lokasi

Geolokasi menambahkan konteks pada keputusan masuk. Geolokasi tidak menetapkan siapa penggunanya, dan tidak boleh menggantikan pemeriksaan identitas gateway, otorisasi akun, atau MFA.

Jika kebutuhan bisnis hanya pengguna yang disetujui dari tempat yang disetujui, Anda memerlukan kedua kontrol. Aturan lokasi yang mengizinkan seluruh negara bukan pengganti autentikasi, dan pengguna terautentikasi di negara yang diblokir adalah pertanyaan kebijakan, bukan bug.

Pemeriksaan 6: catat dan verifikasi kedua jalur

Tuliskan layanannya, kebijakan masuk, cakupan lokasi yang dimaksud, pengecualian, dan pemilik pemulihan. Lalu uji jalur seluler dan setidaknya satu jalur situs setelah perubahan, agar pembatasan tetap melekat pada layanan yang dirancang untuk dikendalikannya.

Terakhir, baca ulang penolakan yang Anda mulai. Jika penolakan itu berubah dari penolakan lokasi menjadi kegagalan autentikasi atau otorisasi, masalah masuk sudah terpecahkan dan masalah lain kini terlihat. Panduan WatchGuard tentang penolakan IKEv2 adalah rujukan untuk urutan tahap yang dijelaskan di atas.