Ескі IOS SSL VPN: пакет, профиль, шлюз және сессия

Маршрутизатордың флэшінде клиент орнатушысын тауып, SSL VPN конфигурацияланған деп қорытынды жасайсыз. Бұл төрт құрамдас бөліктің бірі, ал қалған үшеуі біреудің қосыла алатынын шешеді. Ескі IOS SSL VPN-де бөліктер жеке объектілер: бас клиент пакеті, міндетті емес клиент профилі, TLS-ті аяқтайтын WebVPN шлюзі және аутентификация мен сессия параметрлерін сақтайтын контекст пен топтық саясат. Біреуін өткізіп алсаңыз, сырттан ақау бірдей көрінеді.

IOS 15.3 пен AnyConnect 3.1 негізінде құрылған Cisco-ның IOS SSL VPN конфигурация үлгісі дәл осы объектілерді бөлек ұстайтындықтан пайдалы. Оны сол ескі іске асырудың сипаттамасы ретінде оқыңыз, сол нұсқаларды орналастыруға арналған ұсыныс ретінде емес.

Біріншіден, пакет: ол не және не емес

Бас пакет бір платформаға арналған клиенттік бағдарламалық жасақтаманы береді. Ол профиль де, тыңдаушы да емес, ал флэште жатқан файл біреудің бірдеңе жүктегенін ғана дәлелдейді. Ол қандай да бір сессияның оны қолданғанын, платформаның пайдаланушы құрылғысына сәйкес келетінін немесе шлюздің оған мүлде сілтеме жасайтынын дәлелдемейді.

Файлдың нақты атауын, ол бағытталған платформаны және конфигурация қайда сілтейтінін растаңыз. Windows пакеті телефондар туралы ештеңе айтпайды, ал ешбір шлюз объектісі атамаған жүктелген файл — конфигурация емес, қойма. Платформаға сәйкес келетін, бірақ қызметке ешқашан байланыстырылмайтын пакет ешбір пайдаланушыға ұсынылмайды. Файл атауы конфигурация күткен мәннен өзгеше пакет те солай.

Екіншіден, профиль: бағдарлама емес, параметрлер

Міндетті емес клиент профилі әкімші бөлек дайындайтын параметрлерді тасымалдайды, мысалы серверлер тізімдері немесе клиент қалаулары. Оны орнатушымен шатастыру жиі кездеседі, өйткені екеуі де ұқсас атаулы файлдар түрінде келеді. Егер орналастыру профильді күтсе, оның болмауы клиенттің қосылғаннан кейін не істейтінін өзгертеді, қосыла ма, жоқ па — оны емес.

Екі артефактіні де түгендеп, шлюз шын мәнінде қайсысына сілтеме жасайтынын жазып қойыңыз. Сол бір жол екі адам әртүрлі файлдар туралы сөйлесетін қолдау билеттерінің тұтас тобын болдырмайды.

Үшіншіден, тыңдаушы және TLS идентификациясы

Шлюз объектісі сыртқы әлем жететін мекенжай мен портты және қол алысу кезінде ұсынылатын сертификатты анықтайды. Браузердің портал бетіне жетуі, клиенттің аутентификацияны аяқтауы және қолданбаның жеке серверге жетуі — үш бөлек байқау, ал тек біріншісі ғана тыңдаушы сынағы. Қол алысу сәтсіз болса, төмендегі ештеңе әзірге маңызды емес, сондықтан кез келген саясатты өңдеуден бұрын сертификаттар тізбегін және атауды тексеріңіз.

Күтілетін идентификацияны бір жерге жазыңыз. Жаңартылған немесе ауыстырылған сертификат — өткен айда жұмыс істеген орналастырудың осы айда жұмысын тоқтатуының ең жиі себебі.

Төртіншіден, контекст және оның виртуалды үлгісі бар саясат

Контекст пен топтық саясат аутентификацияны сессия мінез-құлқына байланыстырады: мекенжай пулы, бөлінген маршруттар, DNS және пайдаланушы жете алатын ішкі желілер. Құжатталған мысал өз контекстін әр сессия үшін интерфейс мінез-құлқын беретін виртуалды үлгіге тіркейді, ал бұл сервер жақтағы объектілер пайдаланушы жүктейтін кез келген нәрседен тәуелсіз өмір сүреді.

Пайдаланушы аутентификациядан өтсе де еш жерге жетпесе, кінә әдетте клиентте емес, осында. Пулды, клиентке берілген маршруттарды және әрі қарайғы трафикке рұқсат беретін ACL-ді салыстырып, оларды дизайн көздеген нәрсемен емес, пайдаланушы хабарлаған нәрсемен тексеріңіз.

Ретімен тексеріп, бірінші ақауда тоқтаңыз

Төрт құрамдасты байланыс оларға кездесетін ретпен өтіңіз: тыңдаушы, аутентификация, саясат, содан кейін клиенттің мінез-құлқы. TLS-ті күтілетін идентификациямен растаңыз, сенімді тіркелгіні аутентификациялаңыз, сессиядан берілген мекенжай мен маршруттарды оқыңыз, содан кейін ғана клиент платформасын пакетпен салыстырыңыз. Бірінші ақауда тоқтау бір айнымалыны ойында ұстайды, ал бұл жөндеу мен болжамның айырмашылығы.

Телефон немесе сол тарихи жұмыс үстелі үлгісінен тыс кез келген клиент үшін Windows жұмыс ағыны жалпыланады деп болжаудың орнына нақты қолдау көрсетілетін клиент пен шлюз шартын алыңыз. Сұралған хаттаманы өзгерту IKEv2 профилін осы SSL VPN қызметіне айналдырмайды, ал жұмыс үстелі пакетін орнату мобильді қолдау туралы ештеңе дәлелдемейді.