Firebox-ის გეოლოკაციის უარყოფა: ჯერ იპოვეთ VPN შესვლის ეტაპი

სხვა ქვეყანაში მყოფი ადამიანი ვერ უკავშირდება, და პირველი ინსტინქტი შიდა რესურსებზე წვდომის მიმცემი წესის ნახვაა. ეს წესი დაშვების შემდეგ მუშაობს, ამიტომ ის ვერ იქნება ის, რაც გვირაბს უარყოფს. ბლოკირებადი ეტაპი შესვლის გზის სადღაც არის, და Firebox-ს VPN სერვისის მიხედვით ერთზე მეტი შესვლის გზა აქვს. შეასრულეთ შემოწმებები თანმიმდევრობით და გაჩერდით მაშინვე, როცა ერთ-ერთი მათგანი უარყოფას ახსნის.

შემოწმება 1: დაასახელეთ შემომავალი სერვისი

SSL-ის მქონე Mobile VPN-ისთვის, Access Portal-ისა და TLS-ზე BOVPN-ისთვის შემომავალი შესვლა WatchGuard SSLVPN პოლიტიკაა. გამოიყენეთ განზრახული შეზღუდვა იქ, რეალურად კონფიგურირებულ სერვისზე, იმის ნაცვლად, რომ ის მოგვიანებით მოქმედი მომხმარებლის წვდომის წესიდან გამოიტანოთ.

IPsec სხვა გზას მიჰყვება. ჩაშენებული IPSec პოლიტიკა ნებას რთავს გარე IPsec ტრაფიკს Firebox-მდე შესაბამისი ფილიალისა და მობილური VPN სერვისებისთვის, და ის უპირატესობას იძენს ხელით შექმნილ IPSec პოლიტიკაზე. თუ თქვენი კლიენტი IKEv2-ია, თქვენ იმ მეორე გზაზე ხართ, და SSLVPN პოლიტიკა უმნიშვნელოა.

აქ შეცდომა ამ სფეროში ყველაზე ხშირად დაკარგული შუადღეა: პოლიტიკის რედაქტირება, რომელიც პაკეტს არასდროს ხედავს, და შემდეგ დასკვნა, რომ შეზღუდვა არ მუშაობს.

შემოწმება 2: წაიკითხეთ უარყოფა, და არა თეორია

გააკეთეთ ერთი კონტროლირებადი ნებადართული მცდელობა და დააკავშირეთ ოთხი რამ: კლიენტის საჯარო წყაროს მისამართი, შესვლის სერვისი, რომელსაც ის შეეხო, პოლიტიკა, რომელიც დაემთხვა, და ჟურნალში ნებისმიერი უარყოფის მიზეზი. WatchGuard-ის IKEv2-ის პრობლემების მოგვარების სახელმძღვანელო აღნიშნავს, რომ გეოლოკაცია და პაკეტების ნაგულისხმევი დამუშავება შეიძლება უარყოს ტრაფიკი ჩაშენებული პოლიტიკის დაშვებამდე, რაც ნიშნავს, რომ თქვენ მიერ ნანახი უარყოფა შეიძლება ასახელებდეს ეტაპს, რომელიც არ გაითვალისწინეთ.

ქვეყნის კლასიფიკაცია მიჰყვება დაკვირვებულ ქსელურ წყაროს. როუმინგი მომხმარებელი, ზემოთ მდებარე NAT ან სხვა დამტკიცებული გზა შეიძლება შეცვალოს ის, რასაც Firebox ხედავს, ამიტომ დაადასტურეთ მისამართი და არა მომხმარებლის აღწერა იმის შესახებ, სად არის. მოითხოვეთ საჯარო მისამართი, რომელსაც კლიენტი ხედავს, და შეადარეთ ის Firebox-ის ჟურნალში არსებულ წყაროს. როცა ისინი განსხვავდებიან, კლასიფიკაცია მიჰყვება გზას, რომელიც არავის უხსენებია.

შემოწმება 3: ჩაშენებული პოლიტიკა ჯერ კიდევ მფლობელია?

თუ ჩანს, რომ ხელით შექმნილი IPSec პოლიტიკა იგნორირებულია, შეამოწმეთ, ჩართულია თუ არა ჩაშენებული. ხელით წესი, რომელსაც უფრო მაღალი პრიორიტეტის ჩაშენებული წესი ფარავს, და ხელით წესი, რომელიც ერთადერთი დაშვებაა, განსხვავებული კონფიგურაციებია მსგავსი ინტერფეისით.

გადაწყვიტეთ, რომელი უნდა ფლობდეს გზას. თუ ეს ხელით პოლიტიკაა, ჩაშენებული უნდა გამოირთოს იმ ტრაფიკისთვის, და სწორედ იქ იწყება შემდეგი შემოწმება.

შემოწმება 4: დაგეგმეთ ჩანაცვლება გამორთვამდე

ჩაშენებული IPSec პოლიტიკის გამორთვა აშორებს მის დაშვებას დაზარალებული VPN სერვისებისთვის. ეს მოიცავს ფილიალის გვირაბებს, რომლებზეც შეიძლება არ ფიქრობდეთ ერთი მობილური მომხმარებლის კავშირის გასწორებისას.

ჯერ დაგეგმეთ სრული ჩანაცვლება: რომელ სერვისებს სჭირდება დაშვება, რა წყაროს დიაპაზონებს იღებენ, და როგორ მართავთ მოწყობილობას, თუ ცვლილება ცუდად წავა. დატოვეთ დამოუკიდებელი მართვისა და აღდგენის გზა ღია, რადგან აქ დაშვებულმა შეცდომამ შეიძლება მოხსნას ის გვირაბი, რომელსაც გამოიყენებდით მის გასასწორებლად. ჩაწერეთ აღდგენის ნაბიჯები ცვლილების ჩანაწერში, მათ შორის, როგორ მივაღწიოთ მოწყობილობას, თუ VPN გზა გაქრა. შემდეგ შეამოწმეთ განახლება და არა მხოლოდ პირველი კავშირი.

აქტიური კავშირი და მოგვიანებით ხელახალი მოლაპარაკება ორივე დაშვებაზე შეიძლება იყოს დამოკიდებული. ცვლილება, რომელიც მუშაობს თქვენ მიერ შემოწმებულ სესიაზე და ვერ ხერხდება შემდეგ გასაღების შეცვლაზე, დაშვების ჩანაცვლების კლასიკური შედეგია განახლების შემოწმების გარეშე.

შემოწმება 5: გამოყავით იდენტობა მდებარეობისგან

გეოლოკაცია კონტექსტს მატებს შესვლის გადაწყვეტილებას. ის არ ადგენს, ვინ არის მომხმარებელი, და არ უნდა ჩაანაცვლოს კარიბჭის იდენტობის შემოწმებები, ანგარიშის ავტორიზაცია ან MFA.

თუ ბიზნეს მოთხოვნა მხოლოდ დამტკიცებული ადგილებიდან დამტკიცებული მომხმარებლებია, ორივე კონტროლი გჭირდებათ. მთელ ქვეყანას რომ უშვებს, ასეთი მდებარეობის წესი ავთენტიფიკაციის შემცვლელი არ არის, და დაბლოკილ ქვეყანაში ავთენტიფიცირებული მომხმარებელი პოლიტიკის საკითხია და არა ხარვეზი.

შემოწმება 6: ჩაწერეთ და შეამოწმეთ ორივე გზა

ჩაწერეთ სერვისი, შესვლის პოლიტიკა, განზრახული მდებარეობის არე, გამონაკლისები და აღდგენის პასუხისმგებელი. შემდეგ ცვლილების შემდეგ შეამოწმეთ მობილური გზა და მინიმუმ ერთი საიტის გზა, რათა შეზღუდვა დარჩეს იმ სერვისზე მიბმული, რომლისთვისაც შეიქმნა.

ბოლოს, ხელახლა წაიკითხეთ უარყოფა, რომლითაც დაიწყეთ. თუ ის მდებარეობის უარყოფიდან ავთენტიფიკაციის ან ავტორიზაციის წარუმატებლობად იქცა, შესვლის პრობლემა მოგვარებულია და ახლა სხვა ჩანს. ზემოთ აღწერილი ეტაპების რიგისთვის WatchGuard-ის სახელმძღვანელო IKEv2 უარყოფების შესახებ საცნობაროა.