IOS SSL VPN lama: paket, profil, gateway, dan sesi

Anda menemukan pemasang klien di flash router dan menyimpulkan bahwa SSL VPN sudah dikonfigurasi. Itu satu komponen dari empat, dan tiga sisanya menentukan apakah ada yang bisa terhubung. Pada IOS SSL VPN lama, bagian-bagiannya adalah objek terpisah: paket klien kepala, profil klien opsional, gateway WebVPN yang mengakhiri TLS, serta konteks dan kebijakan grup yang menyimpan pengaturan autentikasi dan sesi. Lewatkan satu dan kegagalannya tampak sama dari luar.

Contoh konfigurasi IOS SSL VPN dari Cisco, yang dibangun di atas IOS 15.3 dengan AnyConnect 3.1, berguna justru karena memisahkan objek-objek itu. Bacalah sebagai deskripsi implementasi lama tersebut, bukan sebagai anjuran menerapkan versi-versi itu.

Pertama, paket: apa itu dan apa yang bukan

Paket kepala menyediakan perangkat lunak klien untuk satu platform. Itu bukan profil dan bukan pendengar, dan berkas yang tergeletak di flash hanya membuktikan bahwa seseorang mengunggah sesuatu. Itu tidak membuktikan bahwa suatu sesi pernah memakainya, bahwa platformnya cocok dengan perangkat pengguna, atau bahwa gateway sama sekali merujuknya.

Pastikan nama berkas yang tepat, platform yang dituju, dan tempat konfigurasi menunjuknya. Paket Windows tidak memberi tahu apa pun tentang ponsel, dan berkas yang diunggah yang tidak disebut objek gateway mana pun adalah penyimpanan, bukan konfigurasi. Paket yang cocok dengan platform tetapi tidak pernah dikaitkan dengan layanan tidak akan ditawarkan kepada pengguna mana pun. Begitu pula paket yang nama berkasnya berbeda dari nilai yang diharapkan konfigurasi.

Kedua, profil: pengaturan, bukan perangkat lunak

Profil klien opsional membawa pengaturan yang disiapkan administrator secara terpisah, seperti daftar server atau preferensi klien. Mengacaukannya dengan pemasang itu lazim karena keduanya datang sebagai berkas dengan nama serupa. Jika penerapan mengharapkan profil, ketiadaannya mengubah apa yang dilakukan klien setelah terhubung, bukan apakah ia terhubung.

Inventarisasi kedua artefak dan catat mana yang benar-benar dirujuk gateway. Satu baris itu mencegah satu kelas tiket dukungan tempat dua orang membicarakan berkas yang berbeda.

Ketiga, pendengar dan identitas TLS

Objek gateway mendefinisikan alamat dan port yang dijangkau dunia luar serta sertifikat yang disajikan selama jabat tangan. Peramban yang mencapai halaman portal, klien yang menyelesaikan autentikasi, dan aplikasi yang mencapai server privat adalah tiga pengamatan terpisah, dan hanya yang pertama merupakan uji pendengar. Ketika jabat tangan gagal, belum ada yang penting di hilir, jadi verifikasi rantai sertifikat dan namanya sebelum menyunting kebijakan apa pun.

Tuliskan identitas yang diharapkan di suatu tempat. Sertifikat yang diperbarui atau diganti adalah alasan paling sering sebuah penerapan yang berfungsi bulan lalu berhenti berfungsi bulan ini.

Keempat, konteks dan kebijakan beserta templat virtualnya

Konteks dan kebijakan grup mengikat autentikasi pada perilaku sesi: kumpulan alamat, rute terpisah, DNS, dan jaringan internal mana yang boleh dijangkau pengguna. Contoh yang didokumentasikan melampirkan konteksnya ke templat virtual yang menyediakan perilaku antarmuka per sesi, dan objek sisi server itu ada secara independen dari apa pun yang diunduh pengguna.

Ketika pengguna terautentikasi tetapi tidak mencapai apa pun, kesalahannya biasanya ada di sini, bukan di klien. Bandingkan kumpulan, rute yang diberikan ke klien, dan ACL yang mengizinkan lalu lintas lanjutan, lalu periksa terhadap apa yang dilaporkan pengguna, bukan terhadap apa yang dimaksudkan desain.

Verifikasi berurutan dan berhenti pada kegagalan pertama

Telusuri keempat komponen dalam urutan koneksi bertemu dengannya: pendengar, autentikasi, kebijakan, lalu perilaku klien. Pastikan TLS dengan identitas yang diharapkan, autentikasi akun tepercaya, baca alamat dan rute yang diberikan dari sesi, dan baru setelah itu bandingkan platform klien dengan paket. Berhenti pada kegagalan pertama menjaga satu variabel tetap dalam permainan, dan itulah bedanya perbaikan dengan dugaan.

Untuk ponsel atau klien mana pun di luar contoh desktop historis itu, dapatkan kontrak klien dan gateway yang benar-benar didukung alih-alih menganggap alur kerja Windows berlaku umum. Mengubah protokol yang diminta tidak akan mengubah profil IKEv2 menjadi layanan SSL VPN ini, dan memasang paket desktop tidak membuktikan apa pun tentang dukungan seluler.