Firebox геолокациялык баш тартуусу: адегенде VPN кирүү баскычын табыңыз

Башка өлкөдөгү адам туташа албайт, жана биринчи инстинкт ички ресурстарга кирүү берүүчү эрежени кароо. Бул эреже кабыл алуудан кийин иштейт, ошондуктан туннелди четке каккан нерсе боло албайт. Тоскоолдук кылган баскыч кирүү жолунун бир жеринде, ал эми Firebox VPN кызматына жараша бирден ашык кирүү жолуна ээ. Текшерүүлөрдү ирети менен аткарыңыз жана алардын бири баш тартууну түшүндүргөндө токтоңуз.

Текшерүү 1: кирүүчү кызматты атаңыз

SSL бар Mobile VPN, Access Portal жана TLS аркылуу BOVPN үчүн кирүүчү кире бериш WatchGuard SSLVPN саясаты. Көздөлгөн чектөөнү ошол жерде, иш жүзүндө конфигурацияланган кызматка колдонуңуз, аны кийинчерээк иштеген колдонуучу кирүү эрежесинен чыгаруунун ордуна.

IPsec башка жол менен жүрөт. Курулган IPSec саясаты тиешелүү филиал жана мобилдик VPN кызматтары үчүн тышкы IPsec трафигин Firebox-ко жөнөтүүгө уруксат берет жана кол менен түзүлгөн IPSec саясатынан артык турат. Эгер сиздин кардарыңыз IKEv2 болсо, сиз ошол экинчи жолдоосуз, ал эми SSLVPN саясаты маанисиз.

Бул жерде ката кетирүү — бул тармакта эң көп текке кеткен түштөн кийинки убакыт: пакетти эч качан көрбөгөн саясатты оңдоп, анан чектөө иштебейт деген тыянакка келүү.

Текшерүү 2: теорияны эмес, баш тартууну окуңуз

Бир көзөмөлдөнгөн уруксат берилген аракет жасаңыз жана төрт нерсени байланыштырыңыз: кардардын коомдук булак дареги, ал жеткен кирүү кызматы, дал келген саясат жана журналдагы ар кандай баш тартуу себеби. WatchGuard-дын IKEv2 көйгөйлөрүн четтетүү боюнча нускамасы геолокация жана демейки пакет иштетүү трафикти курулган саясаттын кабыл алынышынан мурун четке кагышы мүмкүн экенин белгилейт, башкача айтканда сиз көрүп жаткан баш тартуу сиз карабаган баскычты аташы мүмкүн.

Өлкөнүн классификациясы байкалган тармактык булакка таянат. Роумингдеги колдонуучу, жогорку NAT же башка бекитилген жол Firebox көргөн нерсени өзгөртүшү мүмкүн, ошондуктан колдонуучунун кайда экени тууралуу сүрөттөмөсүн эмес, даректи ырастаңыз. Кардар көргөн коомдук даректи сураңыз жана аны Firebox журналындагы булак менен салыштырыңыз. Алар айырмаланганда, классификация эч ким атабаган жол менен жүрөт.

Текшерүү 3: курулган саясат дагы эле ээсиби?

Кол менен түзүлгөн IPSec саясаты этибарга алынбай жаткандай көрүнсө, курулганы дагы күйүп турганын текшериңиз. Жогорку артыкчылыктагы курулган эреже менен көлөкөлөнгөн кол эрежеси жана жалгыз уруксат болгон кол эрежеси — интерфейси окшош ар кандай конфигурациялар.

Жолго кайсынысы ээ болушу керектигин чечиңиз. Эгер кол саясаты болсо, курулган ошол трафик үчүн өчүрүлүшү керек, жана кийинки текшерүү ошондон башталат.

Текшерүү 4: өчүрүүдөн мурун алмаштырууну пландаңыз

Курулган IPSec саясатын өчүрүү анын таасир тийген VPN кызматтары үчүн уруксатын алып салат. Буга бир мобилдик колдонуучунун туташуусун оңдоп жатканда ойлобогон филиал туннелдери да кирет.

Алгач толук алмаштырууну пландаңыз: кайсы кызматтарга уруксат керек, алар кандай булак диапазондорун алышат жана өзгөрүү начар болсо түзмөнү кантип башкарасыз. Көз карандысыз башкаруу жана калыбына келтирүү жолун ачык кармаңыз, анткени бул жердеги ката аны оңдоо үчүн колдоно турган туннелди алып салышы мүмкүн. Өзгөрүү жазуусунда калыбына келтирүү кадамдарын жазыңыз, анын ичинде VPN жолу жок болсо түзмөккө кантип жетүүнү. Анан биринчи туташууну гана эмес, жаңыртууну да текшериңиз.

Активдүү туташуу жана кийинки кайра сүйлөшүү экөө тең уруксатка көз каранды болушу мүмкүн. Сиз текшерген сессия үчүн иштеп, кийинки ачкыч алмашууда ийгиликсиз болгон өзгөрүү — жаңыртууну текшербей уруксатты алмаштыруунун классикалык натыйжасы.

Текшерүү 5: инсандыкты жайгашуудан бөлүп кармаңыз

Геолокация кирүү чечимине контекст кошот. Ал колдонуучунун ким экенин аныктабайт жана шлюздун инсандык текшерүүсүн, эсеп авторизациясын же MFAны алмаштырбашы керек.

Эгер бизнес талабы тек бекитилген жерлерден бекитилген колдонуучулар болсо, сизге эки көзөмөл тең керек. Бүт өлкөнү киргизген жайгашуу эрежеси аутентификациянын ордун баспайт, ал эми бөгөттөлгөн өлкөдөгү аутентификацияланган колдонуучу — саясат маселеси, ката эмес.

Текшерүү 6: аны жазып алыңыз жана эки жолду тең текшериңиз

Кызматты, кирүү саясатын, көздөлгөн жайгашуу диапазонун, өзгөчөлүктөрдү жана калыбына келтирүү боюнча жооптууну жазыңыз. Анан өзгөрүүдөн кийин мобилдик жолду жана жок дегенде бир сайт жолун текшериңиз, ошондо чектөө ал көзөмөлдөө үчүн жасалган кызматка байланган бойдон калат.

Акырында, сиз баштаган баш тартууну кайра окуңуз. Эгер ал жайгашуу боюнча баш тартуудан аутентификация же авторизация катасына айланса, кирүү маселеси чечилди жана азыр башкасы көрүнүп турат. Жогоруда сүрөттөлгөн баскычтардын ирети үчүн WatchGuard-дын IKEv2 баш тартуулары боюнча нускамасы шилтеме болуп саналат.