Höfnun staðsetningargreiningar Firebox: finndu fyrst inngangsstig VPN

Einhver í öðru landi kemst ekki í samband, og fyrsta eðlishvötin er að líta á regluna sem veitir aðgang að innri auðlindum. Sú regla keyrir eftir inngöngu, þannig að hún getur ekki verið það sem hafnar göngunni. Stigið sem lokar er einhvers staðar á inngangsleiðinni, og Firebox hefur fleiri en eina inngangsleið eftir VPN-þjónustunni. Farðu í gegnum athuganirnar í röð og stöðvaðu um leið og ein þeirra útskýrir höfnunina.

Athugun 1: nefndu innkomna þjónustuna

Fyrir Mobile VPN með SSL, Access Portal og BOVPN yfir TLS er innkomna inngangurinn stefnan WatchGuard SSLVPN. Beittu fyrirhuguðu takmörkuninni þar, á raunverulega stilltu þjónustunni, í stað þess að álykta hana út frá aðgangsreglu notanda sem keyrir seinna.

IPsec fer aðra leið. Innbyggða IPSec-stefnan leyfir ytri IPsec-umferð til Firebox fyrir viðeigandi útibú og farsíma VPN-þjónustu, og hún gengur framar handvirkt búinni IPSec-stefnu. Ef biðlarinn þinn er IKEv2 ertu á þeirri annarri leið, og SSLVPN-stefnan skiptir ekki máli.

Að gera þetta rangt er algengasta sóaða síðdegið á þessu sviði: að breyta stefnu sem sér aldrei pakkann, og álykta síðan að takmörkunin virki ekki.

Athugun 2: lestu höfnunina, ekki kenninguna

Gerðu eina stýrða leyfða tilraun og tengdu fjóra hluti: opinbert upprunavistfang biðlarans, inngangsþjónustuna sem hún náði til, stefnuna sem passaði, og hvaða höfnunarástæðu sem er í skránni. Leiðbeiningar WatchGuard um úrræðaleit IKEv2 benda á að staðsetningargreining og sjálfgefin pakkameðferð geti hafnað umferð áður en innbyggða stefnan leyfir hana, sem þýðir að höfnunin sem þú sérð gæti nefnt stig sem þú hefur ekki íhugað.

Flokkun lands fylgir athuguðum netuppruna. Ferðandi notandi, NAT ofar í keðjunni eða önnur samþykkt leið geta breytt því sem Firebox sér, svo staðfestu vistfangið frekar en lýsingu notandans á því hvar hann er. Biddu um opinbera vistfangið sem biðlarinn sér, og berðu það saman við upprunann í skrá Firebox. Þegar þau eru ólík fylgir flokkunin leið sem enginn nefndi.

Athugun 3: er innbyggða stefnan enn eigandinn?

Ef handvirk IPSec-stefna virðist vera hunsuð, athugaðu hvort innbyggða stefnan sé enn virk. Handvirk regla sem er skuggulögð af innbyggðri reglu með hærri forgang og handvirk regla sem er eina inngangan eru mismunandi stillingar með svipað útlit í viðmótinu.

Ákveddu hvor á að eiga leiðina. Ef það er handvirka stefnan verður að slökkva á innbyggðu stefnunni fyrir þá umferð, og þar byrjar næsta athugun.

Athugun 4: skipuleggðu skiptinguna áður en slökkt er

Að slökkva á innbyggðu IPSec-stefnunni fjarlægir inngöngu hennar fyrir viðkomandi VPN-þjónustur. Það felur í sér útibúagöng sem þú hugsar kannski ekki um á meðan þú lagar samband eins farsímanotanda.

Skipuleggðu fyrst algjöra skiptinguna: hvaða þjónustur þurfa inngöngu, hvaða upprunasvið þær fá, og hvernig þú munt stjórna tækinu ef breytingin fer úrskeiðis. Hafðu sjálfstæða stjórnunar- og endurheimtarleið opna, því mistök hér geta fjarlægt göngin sem þú myndir nota til að laga þau. Skráðu endurheimtarskrefin í breytingaskrána, þar á meðal hvernig ná má í tækið ef VPN-leiðin er farin. Prófaðu síðan endurnýjun, ekki bara fyrstu tenginguna.

Virk tenging og síðari endursamningur geta bæði verið háð inngöngu. Breyting sem virkar fyrir setuna sem þú prófaðir og bregst við næstu lyklaskipti er klassísk afleiðing þess að skipta um inngöngu án þess að prófa endurnýjun.

Athugun 5: hafðu auðkenni aðskilið frá staðsetningu

Staðsetningargreining bætir samhengi við inngangsákvörðun. Hún staðfestir ekki hver notandinn er, og hún ætti ekki að koma í stað auðkennisathugana gáttarinnar, heimildar reikningsins eða MFA.

Ef viðskiptakrafan er aðeins samþykktir notendur frá samþykktum stöðum þarftu báðar stýringarnar. Staðsetningarregla sem hleypir heilu landi inn er ekki staðgengill fyrir auðkenningu, og auðkenndur notandi í lokuðu landi er stefnuspurning, ekki galli.

Athugun 6: skráðu það og staðfestu báðar leiðir

Skráðu þjónustuna, inngangsstefnuna, fyrirhugað staðsetningarsvið, undantekningarnar og eiganda endurheimtar. Prófaðu síðan farsímaleiðina og að minnsta kosti eina vefleið eftir breytinguna, svo takmörkunin haldist tengd þeirri þjónustu sem henni var ætlað að stýra.

Að lokum skaltu lesa höfnunina sem þú byrjaðir á aftur. Ef hún hefur breyst úr staðsetningarhöfnun í auðkenningar- eða heimildarbilun er inngangsvandamálið leyst og annað er nú sýnilegt. Leiðbeiningar WatchGuard um IKEv2-hafnanir er tilvísunin fyrir stigaröðina sem lýst er hér að ofan.