Gamalt IOS SSL VPN: pakki, snið, gátt og lota

Þú finnur biðlarauppsetningu á flash-beiðni beinisins og ályktar að SSL VPN sé stillt. Það er einn af fjórum þáttum, og hinir þrír ákvarða hvort nokkur getur tengst. Í gamla IOS SSL VPN eru hlutirnir aðskildir: biðlarapakki höfuðsins, valfrjálst biðlarasnið, WebVPN-gáttin sem lýkur TLS, og samhengið ásamt hópstefnunni sem geyma stillingar auðkenningar og lotu. Slepptu einum og bilunin lítur eins út að utan.

Dæmi Cisco um IOS SSL VPN-stillingu, byggt á IOS 15.3 með AnyConnect 3.1, er gagnlegt einmitt vegna þess að það heldur þessum hlutum aðskildum. Lestu það sem lýsingu á þeirri eldri útfærslu, ekki sem tillögu um að setja upp þessar útgáfur.

Fyrst pakkinn: hvað hann er og hvað hann er ekki

Pakki höfuðsins útvegar biðlaraforrit fyrir eitt stýrikerfi. Hann er hvorki sniðið né hlustarinn, og skrá sem liggur á flash sannar aðeins að einhver hafi hlaðið upp einhverju. Hún sannar ekki að lota hafi nokkurn tíma notað hann, að stýrikerfið passi við tæki notandans, eða að gáttin vísi yfirleitt til hans.

Staðfestu nákvæmlega skráarheitið, stýrikerfið sem hann miðar á og hvert stillingin vísar. Windows-pakki segir þér ekkert um síma, og upphlaðin skrá sem enginn gáttarhlutur nefnir er geymsla, ekki stilling. Pakki sem passar við stýrikerfið en er aldrei tengdur þjónustunni verður ekki boðinn neinum notanda. Ekki heldur sá þar sem skráarheitið er annað en gildið sem stillingin á von á.

Í öðru lagi sniðið: stillingar, ekki hugbúnaður

Valfrjálst biðlarasnið ber stillingar sem stjórnandi útbýr sérstaklega, svo sem listum yfir netþjóna eða óskum biðlarans. Að rugla því saman við uppsetningu er algengt því bæði koma sem skrár með svipuðum heitum. Ef uppsetningin á von á sniði breytir fjarvera þess því sem biðlarinn gerir eftir tengingu, ekki hvort hann tengist yfirleitt.

Gerðu skrá yfir bæði og skráðu hvort gáttin vísar í raun til. Þessi eina lína kemur í veg fyrir heilan flokk stuðningsmiða þar sem tveir tala um mismunandi skrár.

Í þriðja lagi hlustarinn og TLS-auðkennin

Gáttarhluturinn skilgreinir vistfangið og portið sem umheimurinn nær í og skírteinið sem er lagt fram í handabandinu. Vafri sem nær í gáttarsíðu, biðlari sem lýkur auðkenningu og forrit sem nær í einkanetþjón eru þrjár aðskildar athuganir, og aðeins sú fyrsta er próf á hlustaranum. Þegar handabandið bregst skiptir ekkert neðar enn sem komið er máli, svo staðfestu skírteinakeðjuna og heitið áður en þú breytir hvaða stefnu sem er.

Skrifaðu vænt auðkenni niður einhvers staðar. Endurnýjað eða skipt skírteini er algengasta ástæða þess að uppsetning sem virkaði í síðasta mánuði hættir að virka í þessum.

Í fjórða lagi samhengið og stefnan ásamt sýndarsniðmátinu

Samhengið og hópstefnan binda auðkenningu við hegðun lotunnar: vistfangasafn, klofnar leiðir, DNS og hvaða innri net notandinn má ná í. Skjalfesta dæmið tengir samhengi sitt við sýndarsniðmát sem veitir hegðun viðmóts fyrir hverja lotu, og þessir hlutir á netþjónahlið eru til óháð því sem notandinn hleður niður.

Þegar notandi auðkennist en nær í ekkert liggur gallinn yfirleitt hér frekar en í biðlaranum. Berðu saman safnið, leiðirnar sem biðlaranum eru gefnar og ACL-ið sem leyfir frekari umferð, og athugaðu þau gegn því sem notandinn greinir frá, ekki því sem hönnunin ætlaði.

Staðfestu í röð og stöðvaðu við fyrstu bilun

Farðu í gegnum fjóra þætti í þeirri röð sem tenging mætir þeim: hlustari, auðkenning, stefna og þá hegðun biðlarans. Staðfestu TLS með væntu auðkenni, auðkenndu traustan reikning, lestu úthlutað vistfang og leiðir úr lotunni og berðu aðeins eftir það saman stýrikerfi biðlarans og pakkann. Að stöðva við fyrstu bilun heldur einni breytu í leiknum, og það er munurinn á viðgerð og ágiskun.

Fyrir síma eða hvaða biðlara sem er utan þess sögulega skjáborðsdæmis skaltu fá raunverulegan studdan biðlara- og gáttarsamning í stað þess að gera ráð fyrir að Windows-vinnuflæðið yfirfærist. Að breyta beiðni um siðareglur mun ekki gera IKEv2-snið að þessari SSL VPN-þjónustu, og uppsetning skjáborðspakka sannar ekkert um farsímaaðstoð.