ძველი IOS SSL VPN: პაკეტი, პროფილი, კარიბჭე და სესია

თქვენ პოულობთ კლიენტის ინსტალატორს როუტერის ფლეშ მეხსიერებაზე და ასკვნით, რომ SSL VPN კონფიგურირებულია. ეს ოთხი კომპონენტიდან ერთია, დანარჩენი სამი კი წყვეტს, შეუძლია თუ არა ვინმეს დაკავშირება. ძველ IOS SSL VPN-ში ნაწილები ცალკეული ობიექტებია: სათავე კლიენტის პაკეტი, არასავალდებულო კლიენტის პროფილი, WebVPN კარიბჭე, რომელიც TLS-ს ამთავრებს, და კონტექსტი ჯგუფურ პოლიტიკასთან ერთად, რომლებიც ინახავენ ავთენტიფიკაციისა და სესიის პარამეტრებს. გამოტოვეთ ერთი და გარედან ხარვეზი ერთნაირად გამოიყურება.

Cisco-ს IOS SSL VPN კონფიგურაციის მაგალითი, აგებული IOS 15.3-სა და AnyConnect 3.1-ზე, სწორედ იმიტომ არის სასარგებლო, რომ ამ ობიექტებს ცალ-ცალკე ინახავს. წაიკითხეთ ის როგორც იმ ძველი იმპლემენტაციის აღწერა და არა როგორც რეკომენდაცია იმ ვერსიების განლაგებისა.

პირველი, პაკეტი: რა არის და რა არ არის

სათავე პაკეტი კლიენტურ პროგრამულ უზრუნველყოფას აწვდის ერთი პლატფორმისთვის. ის არც პროფილია და არც მსმენელი, და ფლეშზე მდებარე ფაილი მხოლოდ იმას ადასტურებს, რომ ვიღაცამ რაღაც ატვირთა. ის არ ადასტურებს, რომ რომელიმე სესიამ ის ოდესმე გამოიყენა, რომ პლატფორმა მომხმარებლის მოწყობილობას შეესაბამება, ან რომ კარიბჭე საერთოდ მასზე მიუთითებს.

დაადასტურეთ ფაილის ზუსტი სახელი, სამიზნე პლატფორმა და ადგილი, სადაც კონფიგურაცია მასზე მიუთითებს. Windows-ის პაკეტი ტელეფონებზე არაფერს გეუბნებათ, ხოლო ატვირთული ფაილი, რომელსაც არც ერთი კარიბჭის ობიექტი არ იხსენიებს, საცავია და არა კონფიგურაცია. პაკეტი, რომელიც პლატფორმას ერგება, მაგრამ არასოდეს უკავშირდება სერვისს, არც ერთ მომხმარებელს არ შეეთავაზება. არც ის, რომლის ფაილის სახელი განსხვავდება კონფიგურაციის მოსალოდნელი მნიშვნელობისგან.

მეორე, პროფილი: პარამეტრები და არა პროგრამა

არასავალდებულო კლიენტის პროფილი ატარებს პარამეტრებს, რომლებსაც ადმინისტრატორი ცალკე ამზადებს, მაგალითად სერვერების სიებს ან კლიენტის პრეფერენციებს. მისი ინსტალატორთან აღრევა ჩვეულებრივია, რადგან ორივე მსგავსი სახელის ფაილად მოდის. თუ განლაგება პროფილს მოელის, მისი არქონა ცვლის იმას, რას აკეთებს კლიენტი დაკავშირების შემდეგ და არა იმას, უკავშირდება თუ არა ის საერთოდ.

აღრიცხეთ ორივე არტეფაქტი და ჩაიწერეთ, რომელზე მიუთითებს კარიბჭე რეალურად. ეს ერთი ხაზი ხელს უშლის მხარდაჭერის ბილეთების მთელ კლასს, სადაც ორი ადამიანი სხვადასხვა ფაილზე საუბრობს.

მესამე, მსმენელი და TLS იდენტობა

კარიბჭის ობიექტი განსაზღვრავს მისამართსა და პორტს, რომლამდეც გარე სამყარო აღწევს, და სერტიფიკატს, რომელიც ხელის ჩამორთმევისას წარედგინება. ბრაუზერის პორტალის გვერდამდე მისვლა, კლიენტის მიერ ავთენტიფიკაციის დასრულება და აპლიკაციის მიერ კერძო სერვერამდე მისვლა სამი ცალკე დაკვირვებაა და მხოლოდ პირველია მსმენელის ტესტი. როცა ხელის ჩამორთმევა ვერ ხერხდება, ქვემოთ ჯერ არაფერს აქვს მნიშვნელობა, ამიტომ სერტიფიკატების ჯაჭვი და სახელი შეამოწმეთ ნებისმიერი პოლიტიკის რედაქტირებამდე.

მოსალოდნელი იდენტობა სადმე ჩაიწერეთ. განახლებული ან შეცვლილი სერტიფიკატი ყველაზე ხშირი მიზეზია, რომ გასულ თვეში მომუშავე განლაგება ამ თვეში მუშაობას წყვეტს.

მეოთხე, კონტექსტი და პოლიტიკა მისი ვირტუალური შაბლონით

კონტექსტი და ჯგუფური პოლიტიკა ავთენტიფიკაციას სესიის ქცევას აკავშირებს: მისამართების აუზი, გაყოფილი მარშრუტები, DNS და შიდა ქსელები, რომლებამდეც მომხმარებელს შეუძლია მისვლა. დოკუმენტირებული მაგალითი თავის კონტექსტს ვირტუალურ შაბლონს ურთავს, რომელიც სესიის ინტერფეისის ქცევას იძლევა, და ეს სერვერის მხარის ობიექტები დამოუკიდებლად არსებობს იმისგან, რასაც მომხმარებელი ჩამოტვირთავს.

როცა მომხმარებელი ავთენტიფიკაციას გადის, მაგრამ არსად აღწევს, ბრალი ჩვეულებრივ აქ არის და არა კლიენტში. შეადარეთ აუზი, კლიენტისთვის მიცემული მარშრუტები და ACL, რომელიც შემდგომ ტრაფიკს უშვებს, და შეამოწმეთ ისინი იმასთან, რასაც მომხმარებელი იტყობინება და არა იმასთან, რაც დიზაინს ჰქონდა განზრახული.

შეამოწმეთ თანმიმდევრობით და გაჩერდით პირველ ხარვეზზე

გაიარეთ ოთხი კომპონენტი იმ თანმიმდევრობით, რომლითაც კავშირი მათ ხვდება: მსმენელი, ავთენტიფიკაცია, პოლიტიკა, შემდეგ კლიენტის ქცევა. დაადასტურეთ TLS მოსალოდნელი იდენტობით, ავთენტიფიკაცია გაატარეთ სანდო ანგარიშზე, წაიკითხეთ მინიჭებული მისამართი და მარშრუტები სესიიდან და მხოლოდ ამის შემდეგ შეადარეთ კლიენტის პლატფორმა პაკეტს. პირველ ხარვეზზე გაჩერება ერთ ცვლადს ტოვებს თამაშში და ეს არის განსხვავება შეკეთებასა და ვარაუდს შორის.

ტელეფონისთვის ან იმ ისტორიული სამაგიდო მაგალითის გარეთ მყოფი ნებისმიერი კლიენტისთვის მოიპოვეთ რეალური მხარდაჭერილი კლიენტისა და კარიბჭის ხელშეკრულება იმის ნაცვლად, რომ ჩათვალოთ Windows-ის სამუშაო პროცესის განზოგადებადობა. მოთხოვნილი პროტოკოლის შეცვლა IKEv2 პროფილს ამ SSL VPN სერვისად არ აქცევს, და სამაგიდო პაკეტის დაყენება მობილურ მხარდაჭერაზე არაფერს ამტკიცებს.