Firebox геолокациялық бас тартуы: алдымен VPN кіру кезеңін табыңыз

Басқа елдегі адам қосыла алмайды, және бірінші инстинкт — ішкі ресурстарға қатынау беретін ережені қарау. Бұл ереже рұқсаттан кейін жұмыс істейді, сондықтан ол туннельді қабылдамайтын нәрсе бола алмайды. Бөгет жасайтын кезең кіру жолының бір жерінде, ал Firebox-тың VPN қызметіне қарай бірнеше кіру жолы бар. Тексерулерді ретімен орындаңыз және олардың біреуі бас тартуды түсіндірген бойда тоқтаңыз.

Тексеру 1: кіріс қызметін атаңыз

SSL бар Mobile VPN, Access Portal және TLS арқылы BOVPN үшін кіріс кіреберісі — WatchGuard SSLVPN саясаты. Көзделген шектеуді сол жерде, нақты конфигурацияланған қызметте қолданыңыз, оны кейінірек істейтін пайдаланушы қатынау ережесінен шығарудың орнына.

IPsec басқа жолмен жүреді. Кіріктірілген IPSec саясаты тиісті филиал және мобильді VPN қызметтері үшін сыртқы IPsec трафигін Firebox-қа жіберуге рұқсат етеді және қолмен жасалған IPSec саясатынан басым тұрады. Егер сіздің клиентіңіз IKEv2 болса, сіз сол екінші жолдасыз, ал SSLVPN саясаты маңызды емес.

Мұнда қателесу — бұл салада ең жиі босқа кететін түстен кейінгі уақыт: пакетті ешқашан көрмейтін саясатты өңдеп, содан кейін шектеу жұмыс істемейді деп қорытынды жасау.

Тексеру 2: теорияны емес, бас тартуды оқыңыз

Бір бақыланатын рұқсат етілген әрекет жасаңыз және төрт нәрсені байланыстырыңыз: клиенттің жалпыға ашық бастапқы мекенжайы, ол жеткен кіру қызметі, сәйкес келген саясат және журналдағы кез келген бас тарту себебі. WatchGuard-тың IKEv2 ақаулықтарын жою жөніндегі нұсқаулығы геолокация мен әдепкі пакет өңдеуінің трафикті кіріктірілген саясат рұқсатына дейін қабылдамауы мүмкін екенін атап өтеді, яғни сіз көріп отырған бас тарту сіз қарастырмаған кезеңді атауы мүмкін.

Ел жіктелуі байқалған желілік көзге сүйенеді. Роумингтегі пайдаланушы, жоғарғы NAT немесе басқа бекітілген жол Firebox көретін нәрсені өзгертуі мүмкін, сондықтан пайдаланушының қайда екені туралы сипаттамасын емес, мекенжайды растаңыз. Клиент көретін жалпыға ашық мекенжайды сұраңыз және оны Firebox журналындағы көзбен салыстырыңыз. Олар өзгеше болса, жіктеу ешкім атамаған жолмен жүреді.

Тексеру 3: кіріктірілген саясат әлі де иесі ме?

Қолмен жасалған IPSec саясаты еленбей жатқандай көрінсе, кіріктірілгеннің әлі қосылғанын тексеріңіз. Жоғары басымдықты кіріктірілген ережемен көлеңкеленген қол ережесі мен жалғыз рұқсат болып табылатын қол ережесі — интерфейсі ұқсас әртүрлі конфигурациялар.

Жолға қайсысы ие болуы керегін шешіңіз. Егер қол саясаты болса, кіріктірілген сол трафик үшін өшірілуі керек, және келесі тексеру содан басталады.

Тексеру 4: өшіру алдында ауыстыруды жоспарлаңыз

Кіріктірілген IPSec саясатын өшіру оның әсер еткен VPN қызметтері үшін рұқсатын жояды. Бұған бір мобильді пайдаланушының қосылымын түзетіп жатқанда ойламайтын филиал туннельдері де кіреді.

Алдымен толық ауыстыруды жоспарлаңыз: қай қызметтерге рұқсат керек, олар қандай бастапқы ауқымдарды алады және өзгеріс нашар болса құрылғыны қалай басқарасыз. Тәуелсіз басқару және қалпына келтіру жолын ашық ұстаңыз, өйткені мұндағы қате оны түзету үшін қолданатын туннельді жоюы мүмкін. Өзгеріс жазбасында қалпына келтіру қадамдарын жазыңыз, оның ішінде VPN жолы жоқ болса құрылғыға қалай жетуге болатынын. Содан кейін тек бірінші қосылымды емес, жаңартуды да тексеріңіз.

Белсенді байланыс және кейінгі қайта келіссөз екеуі де рұқсатқа тәуелді болуы мүмкін. Сіз тексерген сессия үшін жұмыс істейтін және келесі кілт алмасуда сәтсіздікке ұшырайтын өзгеріс — жаңартуды тексермей рұқсатты ауыстырудың классикалық нәтижесі.

Тексеру 5: сәйкестікті орналасудан бөлек ұстаңыз

Геолокация кіру шешіміне контекст қосады. Ол пайдаланушының кім екенін анықтамайды және шлюз сәйкестігін тексеруді, тіркелгі авторизациясын немесе MFA-ны алмастырмауы керек.

Егер бизнес талабы тек бекітілген жерлерден бекітілген пайдаланушылар болса, сізге екі бақылау да қажет. Бүкіл елді жіберетін орын ережесі аутентификацияның орнын баспайды, ал блокталған елдегі аутентификацияланған пайдаланушы — саясат мәселесі, ақау емес.

Тексеру 6: оны жазып алыңыз және екі жолды да тексеріңіз

Қызметті, кіру саясатын, көзделген орналасу ауқымын, ерекшеліктерді және қалпына келтіру жауаптысын жазыңыз. Содан кейін өзгерістен кейін мобильді жолды және кемінде бір сайт жолын тексеріңіз, сонда шектеу ол бақылауға арналған қызметке байланысты болып қалады.

Соңында, сіз бастаған бас тартуды қайта оқыңыз. Егер ол орналасу бойынша бас тартудан аутентификация немесе авторизация қатесіне айналса, кіру мәселесі шешілді және қазір басқасы көрінеді. Жоғарыда сипатталған кезең реті үшін WatchGuard-тың IKEv2 бас тартулары жөніндегі нұсқаулығы анықтама болып табылады.