Эски IOS SSL VPN: пакет, профиль, шлюз жана сессия

Маршрутизатордун флэшинен кардар орноткучун таап, SSL VPN конфигурацияланган деп жыйынтык чыгарасыз. Бул төрт компоненттин бири, ал эми калган үчөө бирөөнүн туташа аларын чечет. Эски IOS SSL VPNде бөлүктөр өзүнчө объектилер: башкы кардар пакети, милдеттүү эмес кардар профили, TLSди бүтүрүүчү WebVPN шлюзу жана аутентификация менен сессия жөндөөлөрүн сактаган контекст жана топтук саясат. Бирөөнү өткөрүп жиберсеңиз, сырттан бузулуу бирдей көрүнөт.

IOS 15.3 жана AnyConnect 3.1 негизинде курулган Ciscoнин IOS SSL VPN конфигурация үлгүсү ушул объектилерди өзүнчө кармаганы үчүн пайдалуу. Аны ошол эски ишке ашыруунун сүрөттөмөсү катары окуңуз, ошол версияларды жайгаштыруу сунушу катары эмес.

Биринчиден, пакет: ал эмне жана эмне эмес

Башкы пакет бир платформа үчүн кардар программалык камсыздоосун берет. Ал профиль да, угуучу да эмес, ал эми флэште жаткан файл бирөө бир нерсе жүктөгөнүн гана далилдейт. Ал кандайдыр бир сессия аны колдонгонун, платформа колдонуучунун түзмөгүнө туура келерин же шлюз ага таптакыр шилтеме жасарын далилдебейт.

Файлдын так атын, ал багытталган платформаны жана конфигурация кайда шилтеме жасаарын текшериңиз. Windows пакети телефондор тууралуу эч нерсе айтпайт, ал эми эч бир шлюз объектиси атабаган жүктөлгөн файл — конфигурация эмес, кампа. Платформага туура келген, бирок кызматка эч качан байланыштырылбаган пакет эч бир колдонуучуга сунушталбайт. Файл аты конфигурация күткөн мааниден айырмаланган пакет да ошондой.

Экинчиден, профиль: программа эмес, жөндөөлөр

Милдеттүү эмес кардар профили администратор өзүнчө даярдаган жөндөөлөрдү алып жүрөт, мисалы сервер тизмелери же кардардын тандоолору. Аны орноткуч менен чаташтыруу кеңири таралган, анткени экөө тең окшош аттуу файлдар катары келет. Эгер жайгаштыруу профилди күтсө, анын жоктугу кардар туташкандан кийин эмне кылаарын өзгөртөт, туташабы, жокпу — аны эмес.

Эки артефактыны тең эсепке алып, шлюз чындыгында кайсынысына шилтеме жасаарын жазып коюңуз. Ошол бир сап эки адам ар башка файлдар тууралуу сүйлөшкөн колдоо билеттеринин бүтүндөй классын алдын алат.

Үчүнчүдөн, угуучу жана TLS инсандыгы

Шлюз объектиси сырткы дүйнө жеткен даректи жана портту, ошондой эле кол алышуу учурунда сунушталган сертификатты аныктайт. Браузердин портал бетине жетүүсү, кардардын аутентификацияны аяктоосу жана колдонмонун жеке серверге жетүүсү — үч өзүнчө байкоо, жана угуучунун сынагы биринчиси гана. Кол алышуу ишке ашпаса, төмөндөгү эч нерсе азырынча маанилүү эмес, ошондуктан кандайдыр бир саясатты оңдоодон мурун сертификаттар тизмегин жана атты текшериңиз.

Күтүлгөн инсандыкты бир жерге жазып коюңуз. Жаңыртылган же алмаштырылган сертификат — өткөн айда иштеген жайгаштыруунун ушул айда иштебей калышынын эң көп кездешүүчү себеби.

Төртүнчүдөн, контекст жана анын виртуалдык шаблону бар саясат

Контекст жана топтук саясат аутентификацияны сессиянын жүрүм-турумуна байланыштырат: дарек пулу, бөлүнгөн маршруттар, DNS жана колдонуучу жете алган ички тармактар. Документтелген мисал өз контекстин ар бир сессия үчүн интерфейс жүрүм-турумун берген виртуалдык шаблонго тиркейт, ал эми бул сервер тараптагы объектилер колдонуучу жүктөгөн нерселерден көз карандысыз жашайт.

Колдонуучу аутентификациядан өтүп, бирок эч жерге жетпесе, күнөө адатта кардарда эмес, ушул жерде. Пулду, кардарга берилген маршруттарды жана андан ары трафикке жол берген ACLди салыштырып, аларды долбоор көздөгөн нерсе менен эмес, колдонуучу билдирген нерсе менен текшериңиз.

Ирети менен текшерип, биринчи бузулууда токтоңуз

Төрт компонентти байланыш аларга жолугуучу ирет менен өтүңүз: угуучу, аутентификация, саясат, анан кардардын жүрүм-туруму. TLSди күтүлгөн инсандык менен ырастаңыз, ишенимдүү эсептин аутентификациясын өткөрүңүз, сессиядан бөлүнгөн даректи жана маршруттарды окуңуз, ошондон кийин гана кардардын платформасын пакет менен салыштырыңыз. Биринчи бузулууда токтоо бир гана өзгөрмөнү оюнда кармайт, ал эми бул оңдоо менен божомолдун айырмасы.

Телефон же ошол тарыхый иш тактасындагы мисалдан тышкары кандайдыр бир кардар үчүн Windows иш агымы жалпыланат деп божомолдоонун ордуна чыныгы колдоого алынган кардар жана шлюз келишимин алыңыз. Суралган протоколду өзгөртүү IKEv2 профилин бул SSL VPN кызматына айландырбайт, ал эми иш такта пакетин орнотуу мобилдик колдоо тууралуу эч нерсени далилдебейт.