旧IOS SSL VPN：パッケージ、プロファイル、ゲートウェイ、セッション
フラッシュ上のインストーラーは四つの部品の一つにすぎません。パッケージ、クライアントプロファイル、TLSリスナー、コンテキストポリシーの順に確認し、最初の失敗で止めてください。
ルーターのフラッシュにクライアントインストーラーを見つけて、SSL VPNが設定済みだと結論づけてしまうが、それは四つの構成要素のうちの一つであり、残りの三つが誰かが接続できるかどうかを決める。従来のIOS SSL VPNでは、各部品は別個のオブジェクトである。ヘッドエンドのクライアントパッケージ、任意のクライアントプロファイル、TLSを終端するWebVPNゲートウェイ、そして認証とセッションの設定を保持するコンテキストとグループポリシーだ。一つ欠ければ、外から見た失敗は同じに見える。
IOS 15.3とAnyConnect 3.1で構築されたCiscoのIOS SSL VPN設定例は、まさにこれらのオブジェクトを分けて保つという点で有用である。これはその古い実装の説明として読み、それらのバージョンを導入するための推奨として読むべきではない。
第一に、パッケージ：それが何であり、何でないか
ヘッドエンドパッケージは、一つのプラットフォーム向けのクライアントソフトウェアを提供する。それはプロファイルでもリスナーでもなく、フラッシュに置かれたファイルは誰かが何かをアップロードしたことしか証明しない。あるセッションが実際にそれを使ったこと、プラットフォームが利用者の端末と一致すること、ゲートウェイがそもそもそれを参照していることは証明しない。
正確なファイル名、対象とするプラットフォーム、設定がどこを指しているかを確認する。Windowsのパッケージはスマートフォンについて何も語らず、どのゲートウェイオブジェクトも言及しないアップロード済みファイルは設定ではなく保管物である。プラットフォームに一致していてもサービスに関連づけられないパッケージは、どの利用者にも提供されない。ファイル名が設定の期待値と異なるものも同様だ。
第二に、プロファイル：ソフトウェアではなく設定
任意のクライアントプロファイルは、サーバー一覧やクライアントの環境設定など、管理者が別途用意する設定を運ぶ。インストーラーと混同されやすいのは、どちらも似た名前のファイルとして届くからである。導入がプロファイルを前提としている場合、それが欠けると変わるのは接続後にクライアントが何をするかであり、接続できるかどうかではない。
両方の成果物を棚卸しし、ゲートウェイが実際にどちらを参照しているかを記録する。その一行が、二人が別のファイルについて話しているという種類のサポートチケットを防ぐ。
第三に、リスナーとTLSの身元
ゲートウェイオブジェクトは、外部が到達するアドレスとポート、およびハンドシェイク中に提示する証明書を定義する。ブラウザーがポータルページに到達すること、クライアントが認証を完了すること、アプリケーションがプライベートサーバーに到達することは三つの別個の観測であり、リスナーの試験は最初の一つだけである。ハンドシェイクが失敗すれば、下流のことはまだ何も重要ではないのだから、ポリシーを編集する前に証明書チェーンと名前を検証する。
期待する身元をどこかに書き留める。更新または交換された証明書は、先月動いていた導入が今月動かなくなる最も多い理由である。
第四に、コンテキストとポリシー、そしてその仮想テンプレート
コンテキストとグループポリシーは、アドレスプール、分割ルート、DNS、利用者が到達できる内部ネットワークといった形で、認証をセッションの挙動に結びつける。文書化された例では、コンテキストをセッションごとのインターフェース挙動を提供する仮想テンプレートに結びつけており、これらのサーバー側オブジェクトは利用者がダウンロードするものとは独立して存在する。
利用者が認証しても何にも到達できない場合、障害は通常クライアントではなくここにある。プール、クライアントに渡されたルート、通過を許可するACLを比較し、設計の意図ではなく利用者の報告と照らし合わせる。
順に検証し、最初の失敗で止める
接続が出会う順に、リスナー、認証、ポリシー、そしてクライアントの挙動という四つの構成要素をたどる。期待する身元でTLSを確認し、信頼できるアカウントで認証し、セッションから割り当てられたアドレスとルートを読み、その後に初めてクライアントのプラットフォームをパッケージと比較する。最初の失敗で止めることは変数を一つに保ち、それが修理と推測の違いになる。
スマートフォンや、その歴史的なデスクトップの例の外にあるクライアントについては、Windowsの作業手順が一般化すると仮定するのではなく、実際にサポートされたクライアントとゲートウェイの契約を入手する。要求するプロトコルを変えてもIKEv2プロファイルがこのSSL VPNサービスになるわけではなく、デスクトップパッケージを導入してもモバイル対応について何も証明できない。