구형 IOS SSL VPN: 패키지, 프로파일, 게이트웨이, 세션

라우터의 플래시에서 클라이언트 설치 프로그램을 발견하고 SSL VPN이 구성되었다고 결론을 내리지만, 그것은 네 가지 구성 요소 중 하나이며 나머지 셋이 누군가 접속할 수 있는지를 결정합니다. 구형 IOS SSL VPN에서 각 부분은 별개의 객체입니다. 헤드엔드 클라이언트 패키지, 선택적인 클라이언트 프로파일, TLS를 종료하는 WebVPN 게이트웨이, 그리고 인증과 세션 설정을 담는 컨텍스트와 그룹 정책입니다. 하나를 놓치면 밖에서 보는 실패는 똑같아 보입니다.

IOS 15.3과 AnyConnect 3.1로 구축된 Cisco의 IOS SSL VPN 구성 예제는 바로 이 객체들을 분리해 두기 때문에 유용합니다. 그것을 그 오래된 구현에 대한 설명으로 읽고, 그 버전들을 배포하라는 권고로 읽지 마십시오.

첫째, 패키지: 무엇이고 무엇이 아닌가

헤드엔드 패키지는 한 플랫폼용 클라이언트 소프트웨어를 제공합니다. 그것은 프로파일도 리스너도 아니며, 플래시에 놓인 파일은 누군가 무언가를 업로드했다는 것만 증명합니다. 어떤 세션이 그것을 실제로 사용했는지, 플랫폼이 사용자의 기기와 맞는지, 게이트웨이가 그것을 아예 참조하는지는 증명하지 않습니다.

정확한 파일 이름, 대상 플랫폼, 구성이 그것을 가리키는 위치를 확인하십시오. Windows 패키지는 휴대전화에 대해 아무것도 알려주지 않으며, 어떤 게이트웨이 객체도 언급하지 않는 업로드된 파일은 구성이 아니라 보관물입니다. 플랫폼과 맞지만 서비스에 연결된 적이 없는 패키지는 어떤 사용자에게도 제공되지 않습니다. 파일 이름이 구성이 기대하는 값과 다른 패키지도 마찬가지입니다.

둘째, 프로파일: 소프트웨어가 아니라 설정

선택적인 클라이언트 프로파일은 서버 목록이나 클라이언트 기본 설정처럼 관리자가 따로 준비하는 설정을 담습니다. 설치 프로그램과 혼동하기 쉬운 것은 둘 다 비슷한 이름의 파일로 도착하기 때문입니다. 배포가 프로파일을 전제한다면, 그것이 없을 때 달라지는 것은 접속 후 클라이언트가 하는 일이지 접속 여부가 아닙니다.

두 산출물을 모두 목록화하고 게이트웨이가 실제로 어느 쪽을 참조하는지 기록하십시오. 그 한 줄이 두 사람이 서로 다른 파일을 두고 이야기하는 부류의 지원 티켓을 막습니다.

셋째, 리스너와 TLS 신원

게이트웨이 객체는 외부 세계가 도달하는 주소와 포트, 그리고 핸드셰이크 중에 제시하는 인증서를 정의합니다. 브라우저가 포털 페이지에 도달하는 것, 클라이언트가 인증을 완료하는 것, 애플리케이션이 사설 서버에 도달하는 것은 세 가지 별개의 관찰이며, 리스너 시험은 첫 번째뿐입니다. 핸드셰이크가 실패하면 하류의 어떤 것도 아직 중요하지 않으므로, 어떤 정책이든 편집하기 전에 인증서 체인과 이름을 검증하십시오.

기대하는 신원을 어딘가에 적어 두십시오. 갱신되거나 교체된 인증서는 지난달 작동하던 배포가 이번 달 작동을 멈추는 가장 흔한 이유입니다.

넷째, 컨텍스트와 정책, 그리고 그 가상 템플릿

컨텍스트와 그룹 정책은 주소 풀, 분할 경로, DNS, 사용자가 도달할 수 있는 내부 네트워크라는 형태로 인증을 세션 동작에 묶습니다. 문서화된 예제는 컨텍스트를 세션별 인터페이스 동작을 제공하는 가상 템플릿에 연결하며, 이러한 서버 측 객체는 사용자가 내려받는 어떤 것과도 독립적으로 존재합니다.

사용자가 인증은 되지만 아무것에도 도달하지 못하면, 결함은 보통 클라이언트가 아니라 여기에 있습니다. 풀, 클라이언트에 전달된 경로, 이후 트래픽을 허용하는 ACL을 비교하고, 설계의 의도가 아니라 사용자가 보고하는 것과 대조하십시오.

순서대로 검증하고 첫 실패에서 멈추십시오

연결이 마주치는 순서대로 리스너, 인증, 정책, 그다음 클라이언트 동작이라는 네 구성 요소를 훑으십시오. 기대하는 신원으로 TLS를 확인하고, 신뢰할 수 있는 계정으로 인증하고, 세션에서 할당된 주소와 경로를 읽고, 그다음에야 클라이언트의 플랫폼을 패키지와 비교하십시오. 첫 실패에서 멈추는 것 은 변수를 하나만 남기며, 그것이 수리와 추측의 차이입니다.

휴대전화나 그 역사적인 데스크톱 예제 밖의 어떤 클라이언트든, Windows 작업 흐름이 일반화된다고 가정하는 대신 실제로 지원되는 클라이언트와 게이트웨이 계약을 확보하십시오. 요청 프로토콜을 바꾼다고 IKEv2 프로파일이 이 SSL VPN 서비스가 되지는 않으며, 데스크톱 패키지를 설치한다고 모바일 지원에 대해 증명되는 것은 없습니다.