Firebox-Geolokaliséierungs-Oflehnung: fannt d'éischt d'VPN-Entréesetapp

Iergendeen an engem aneren Land kann net verbannen, an den éischten Instinkt ass d'Regel ze kucken, déi Zougrëff op intern Ressourcen gëtt. Dës Regel leeft nom Zouschloss, also kann et net dat sinn, wat den Tunnel ofleet. Déi blockéierend Etapp ass iergendwou am Entréeswee, an d'Firebox huet méi wéi een Entréeswee jee no VPN-Service. Maacht d'Prüfungen an der Rei a stoppt sou séier wéi eng vun hinnen d'Oflehnung erkläert.

Prüfung 1: nennt den agehende Service

Fir Mobile VPN mat SSL, Access Portal a BOVPN iwwer TLS ass den agehende Entrée d'WatchGuard SSLVPN-Politik. Setzt déi virgesinn Aschränkung do un, um tatsächlech konfiguréierte Service, amplaz se aus enger Benotzerzougrëffsregel ofzeleeden, déi méi spéit leeft.

IPsec geet en anere Wee. Déi agebaut IPSec-Politik erlaabt externen IPsec-Trafic op d'Firebox fir déi betreffend Branch- a mobil VPN-Servicer, an et huet Virrang virun enger manuell erstallter IPSec-Politik. Wann Äre Client IKEv2 ass, sidd Dir op deem zweeten Wee, an d'SSLVPN-Politik ass irrelevant.

Dëst falsch ze maachen ass de meescht verléierten Nomëtteg an dësem Beräich: eng Politik editéieren, déi de Pak ni gesäit, an dann ofschléissen datt d'Aschränkung net funktionéiert.

Prüfung 2: liest d'Oflehnung, net d'Theorie

Maacht een kontrolléierten erlaabten Versuch a verbënnt véier Saachen: d'ëffentlech Quelladress vum Client, de Service vum Entrée deen en erreecht huet, d'Politik déi gepasst huet, an all Oflehnungsgrond am Log. Dem WatchGuard seng IKEv2-Fehlerbehiewungsguid vermierkt datt Geolokaliséierung an d'Standardpaketbehandlung den Trafic nach virum Zouschloss vun der agebauter Politik kënnen ofleener, wat bedeit datt d'Oflehnung déi Dir gesitt eng Etapp nenne kann déi Dir net betruecht hutt.

D'Lännerklassifikatioun follegt der observéierter Netzquell. En ëmmerbenotzte Benotzer, en NAT uewendriwwer oder en anere genehmegte Wee kënne änneren wat d'Firebox gesäit, also bestätegt d'Adress an net dem Benotzer seng Beschreiwung vu wou en ass. Frot d'ëffentlech Adress déi de Client gesäit, a vergläicht se mat der Quell am Firebox-Log. Wa se sech ënnerscheeden, follegt d'Klassifikatioun engem Wee dee kee genannt huet.

Prüfung 3: ass déi agebaut Politik nach den Eegentemer?

Wann eng manuell IPSec-Politik ignoréiert schéngt, préift ob déi agebaut nach aktiv ass. Eng manuell Regel déi vun enger agebauter Regel mat méi héijer Prioritéit iwwerschat gëtt an eng manuell Regel déi déi eenzeg Zouschloss ass, sinn ënnerschiddlech Konfiguratioune mat gläichem Ausgesinn an der Interface.

Entscheet wéi eng de Wee soll besëtzen. Wann et déi manuell Politik ass, muss déi agebaut fir deen Trafic deaktivéiert ginn, an do fänkt déi nächst Prüfung un.

Prüfung 4: plangt den Ersatz ier Dir deaktivéiert

D'Deaktivéiere vun der agebauter IPSec-Politik hëlt hiren Zouschloss fir déi betraffe VPN-Servicer ewech. Dat enthält Branch-Tunnelen un déi Dir vläicht net denkt wärend Dir d'Verbindung vun engem mobilen Benotzer fléckt.

Plangt als éischt den kompletten Ersatz: wéi eng Servicer Zouschloss brauchen, wéi eng Quellberäicher se kréien, a wéi Dir d'Apparat geréiert wann d'Ännerung schif geet. Hält en onofhängege Verwaltungs- a Rettungswee op, well e Feeler hei kann den Tunnel ewechhuelen deen Dir gebraucht hätt fir en ze flécken. Notéiert d'Rettungsschrëtt am Ännerungsprotokoll, inklusiv wéi Dir d'Apparat erreecht wann de VPN-Wee fort ass. Testt duerno d'Erneierung, net just déi éischt Verbindung.

Aktiv Konnektivitéit a spéider Neiverhandlung kënne béid vum Zouschloss ofhänken. Eng Ännerung déi fir de getestene Sessioun funktionéiert an beim nächsten Schlësselwiessel feelt, ass en typescht Resultat vum Ersatz vum Zouschloss ouni d'Erneierung ze testen.

Prüfung 5: hält Identitéit getrennt vun der Plaz

Geolokaliséierung gëtt enger Entréesentscheedung Kontext. Si setzt net fest wien de Benotzer ass, a si soll net d'Gateway-Identitéitsprüfungen, d'Kontosautoriséierung oder MFA ersetzen.

Wann d'Geschäftsufuerderung nëmmen genehmegt Benotzer vun genehmegte Plazen ass, braucht Dir béid Kontrollen. Eng Plazregel déi e ganzt Land erlaabt ass keen Ersatz fir Authentifikatioun, an en authentifizéierte Benotzer an engem blockéierte Land ass eng Politiksfro, keen Feeler.

Prüfung 6: schreift et op a verifizéiert béid Weeër

Schreift de Service op, d'Entréespolitik, de virgesinne Plazberäich, d'Ausnamen an den Eegentemer vun der Rettung. Testt duerno nom Änneren de mobilen Wee an op d'mannst ee Sitewee, sou datt d'Aschränkung un de Service gebonne bleift fir deen se geduecht war.

Zum Schluss liest d'Oflehnung nach eng Kéier mat där Dir ugefaangen hutt. Wann se sech vun enger Plazoflehnung zu engem Authentifikatiouns- oder Autorisatiounsfeeler geännert huet, ass d'Entréesproblem geléist an en anert ass elo ze gesinn. WatchGuard-Guide zu IKEv2-Oflehnungen ass d'Referenz fir d'Etappenuerdnung déi uewen beschriwwe gouf.