Alen IOS SSL VPN: Pak, Profil, Gateway a Sessioun

Dir fannt en Clientinstallateur op der Flash vum Router a schléisst doraus, datt d’SSL VPN konfiguréiert ass. Dat ass eng Komponent vun véier, an déi aner dräi entscheeden, ob iergendeen sech verbannen kann. Beim alen IOS SSL VPN sinn d’Deeler eenzel Objeten: de Clientpak vum Kapp, en optionale Clientprofil, de WebVPN-Gateway, deen TLS ofschléisst, an de Kontext plus d’Gruppepolitik, déi d’Authentifikatioun an d’Sessiounsparameteren halen. Verpasst een, an de Feeler gesäit vun dobaussen d’selwecht aus.

Dem Cisco säin IOS SSL VPN-Konfiguratiounsbeispill, gebaut op IOS 15.3 mat AnyConnect 3.1, ass grad dofir nëtzlech, well et déi Objeten auserneenhält. Liest et als Beschreiwung vun där eelerer Implementatioun, net als Recommandatioun, déi Versiounen ze deployéieren.

Éischtens, de Pak: wat en ass a wat en net ass

De Kapppak liwwert Clientssoftware fir eng Plattform. En ass weder de Profil nach de Listener, an eng Datei, déi op der Flash läit bewise just, datt een eppes erofgelueden huet. En beweist net, datt eng Sessioun en je benotzt huet, datt d’Plattform zum Apparat vum Benotzer passt, oder datt de Gateway iwwerhaapt drop verweist.

Bestätegt den exakten Dateinumm, d’Plattform, op déi en zielt, an d’Plaz, wou d’Konfiguratioun drop verweist. E Windows-Pak seet Iech näischt iwwer Telefonen, an eng erofgeluede Datei, déi keen Gateway-Objet ernimmt, ass Späicher an net Konfiguratioun. E Pak, deen zur Plattform passt, awer ni mam Service verbonne gëtt, gëtt kengem Benotzer ugebueden. Och keen, deem säin Dateinumm sech vum Wäert ënnerscheet, deen d’Konfiguratioun erwaart.

Zweetens, de Profil: Astellungen, net Software

En optionale Clientprofil dréit Astellungen, déi en Administrateur getrennt virbereed, wéi Serverlëschten oder Clientpräferenzen. En mat engem Installateur ze verwiesselen ass heefeg, well béid als Dateie mat ähnlechen Nimm kommen. Wann d’Deployment e Profil erwaart, ännert seng Feele wat de Client no der Verbindung mécht, net ob en iwwerhaapt sech verbënnt.

Inventariséiert béid Artefakten a notéiert, op wéien de Gateway tatsächlech verweist. Déi eng Zeil verhënnert eng Klass vu Supportticketen, an deenen zwee Leit iwwer verschidden Dateie schwätzen.

Drëttens, de Listener an d’TLS-Identitéit

Den Gateway-Objet definéiert d’Adress an de Port, déi d’Baussewelt erreecht, an d’Zertifikat, dat beim Handshake presentéiert gëtt. E Browser, deen eng Portalsäit erreecht, e Client, deen d’Authentifikatioun ofschléisst, an eng Applikatioun, déi e private Server erreecht, sinn dräi getrennte Observatiounen, an nëmmen déi éischt ass en Test vum Listener. Wann den Handshake feelt, ass nach näischt ënnerwee wichteg, also iwwerpréift d’Zertifikatskette an den Numm, ier Dir eng Politik ännert.

Schreift d’erwaart Identitéit iergendwou op. En erneierten oder ersate Zertifikat ass de heefegste Grond, firwat en Deployment, dee leschte Mount funktionéiert huet, dëse Mount ophält.

Véiertens, de Kontext an d’Politik mat hirem virtuelle Schabloun

De Kontext an d’Gruppepolitik bannen d’Authentifikatioun un d’Verhalen vun der Sessioun: Adresspool, opgedeelte Ruten, DNS a wéi eng intern Netzwierker e Benotzer erreeche kann. Dat dokumentéiert Beispill verbënnt säi Kontext mat enger virtueller Schabloun, déi d’Interfaceverhalen pro Sessioun liwwert, an déi serverseideg Objeten existéieren onofhängeg vun allem, wat e Benotzer eroflued.

Wann e Benotzer sech authentifizéiert, awer néierens erreecht, läit de Feeler meeschtens hei an net am Client. Vergläicht den Pool, d’Ruten, déi dem Client gi sinn, an d’ACL, déi de weidere Verkéier erlaabt, a kontrolléiert se géint dat, wat de Benotzer mellt, net géint dat, wat den Design virgesinn huet.

Iwwerpréift der Rei no a stoppt beim éischte Feeler

Gitt déi véier Komponenten der Rei no duerch, an där eng Verbindung hinnen begéint: Listener, Authentifikatioun, Politik, duerno d’Verhalen vum Client. Bestätegt TLS mat der erwaarter Identitéit, authentifizéiert e vertrauenswürdege Kont, liest d’zougewise Adress an d’Ruten aus der Sessioun, a vergläicht eréischt duerno d’Plattform vum Client mam Pak. Beim éischte Feeler stoppen hält eng eenzeg Variabel am Spill, an dat ass den Ënnerscheed tëscht enger Reparatur an enger Vermutung.

Fir en Telefon oder all Client baussent deem historeschen Desktop-Beispill, kritt de richtege ënnerstëtzten Client- a Gateway-Kontrakt, amplaz unzehuelen, datt de Windows-Workflow sech generaliséiert. Eng gefrote Protokoll z’ännere wäert en IKEv2-Profil net an dëse SSL VPN-Service verwandelen, an en Desktop-Pak z’installéieren beweise näischt iwwer mobil Ënnerstëtzung.