Firebox geolokacijos atmetimas: pirmiausia raskite VPN įėjimo etapą

Kažkas kitoje šalyje negali prisijungti, ir pirmas instinktas – žiūrėti į taisyklę, kuri suteikia prieigą prie vidinių išteklių. Ta taisyklė vykdoma po priėmimo, todėl ji negali būti tai, kas atmeta tunelį. Blokuojantis etapas yra kažkur įėjimo kelyje, o Firebox turi daugiau nei vieną įėjimo kelią, priklausomai nuo VPN paslaugos. Atlikite patikras iš eilės ir sustokite, kai tik viena jų paaiškina atmetimą.

1 patikra: įvardykite gaunamą paslaugą

Jei naudojama Mobile VPN su SSL, Access Portal ir BOVPN per TLS, gaunamas įėjimas yra WatchGuard SSLVPN taisyklė. Taikykite numatytą apribojimą ten, ties faktiškai sukonfigūruota paslauga, užuot išvedę jį iš vėliau vykdomos naudotojo prieigos taisyklės.

IPsec eina kitu keliu. Įtaisyta IPSec taisyklė leidžia išorinį IPsec srautą į Firebox atitinkamoms filialo ir mobiliojo VPN paslaugoms, ir ji turi pirmenybę prieš rankiniu būdu sukurtą IPSec taisyklę. Jei jūsų klientas yra IKEv2, jūs esate tame antrame kelyje, o SSLVPN taisyklė neturi reikšmės.

Suklysti čia – dažniausiai veltui praleista popietė šioje srityje: redaguoti taisyklę, kuri niekada nemato paketo, ir tada daryti išvadą, kad apribojimas neveikia.

2 patikra: skaitykite atmetimą, o ne teoriją

Atlikite vieną kontroliuojamą leistiną bandymą ir susiekite keturis dalykus: kliento viešą šaltinio adresą, pasiektą įėjimo paslaugą, atitikusią taisyklę ir bet kokią atmetimo priežastį žurnale. WatchGuard IKEv2 trikčių šalinimo gairės pažymi, kad geolokacija ir numatytas paketų apdorojimas gali atmesti srautą prieš įtaisytos taisyklės priėmimą, o tai reiškia, kad matomas atmetimas gali įvardyti etapą, kurio neatsižvelgėte.

Šalies klasifikacija seka stebimą tinklo šaltinį. Keliaujantis naudotojas, aukštesnis NAT ar kitas patvirtintas kelias gali pakeisti tai, ką mato Firebox, todėl patvirtinkite adresą, o ne naudotojo aprašymą, kur jis yra. Paprašykite viešo adreso, kurį mato klientas, ir palyginkite jį su šaltiniu Firebox žurnale. Kai jie skiriasi, klasifikacija seka keliu, kurio niekas nepaminėjo.

3 patikra: ar įtaisyta taisyklė vis dar savininkė?

Jei atrodo, kad rankinė IPSec taisyklė ignoruojama, patikrinkite, ar įtaisytoji vis dar įjungta. Rankinė taisyklė, kurią užgožia aukštesnio prioriteto įtaisyta taisyklė, ir rankinė taisyklė, kuri yra vienintelis priėmimas, yra skirtingos konfigūracijos su panašiai atrodančia sąsaja.

Nuspręskite, kuri turi valdyti kelią. Jei tai rankinė taisyklė, įtaisytoji turi būti išjungta tam srautui, ir ten prasideda kita patikra.

4 patikra: suplanuokite pakeitimą prieš išjungdami

Įtaisytos IPSec taisyklės išjungimas pašalina jos priėmimą paveiktoms VPN paslaugoms. Tai apima filialo tunelius, apie kuriuos galbūt negalvojate taisydami vieno mobiliojo naudotojo ryšį.

Pirmiausia suplanuokite visišką pakeitimą: kurioms paslaugoms reikia priėmimo, kokias šaltinio apimtis jos gauna ir kaip valdysite įrenginį, jei pakeitimas nepavyks. Laikykite atvirą nepriklausomą valdymo ir atkūrimo kelią, nes klaida čia gali pašalinti tunelį, kurį naudotumėte jam pataisyti. Užrašykite atkūrimo veiksmus pakeitimo įraše, įskaitant tai, kaip pasiekti įrenginį, jei VPN kelio nebėra. Tada išbandykite atnaujinimą, o ne tik pirmąjį prisijungimą.

Aktyvus ryšys ir vėlesnis pakartotinis derėjimasis abu gali priklausyti nuo priėmimo. Pakeitimas, kuris veikia išbandytoje sesijoje ir nepavyksta per kitą raktų keitimą, yra klasikinis priėmimo pakeitimo be atnaujinimo bandymo rezultatas.

5 patikra: laikykite tapatybę atskirai nuo vietos

Geolokacija prideda kontekstą prie įėjimo sprendimo. Ji nenustato, kas yra naudotojas, ir neturėtų pakeisti tinklų sietuvo tapatybės patikrų, paskyros autorizacijos ar MFA.

Jei verslo reikalavimas yra tik patvirtinti naudotojai iš patvirtintų vietų, jums reikia abiejų kontrolių. Vietos taisyklė, leidžianti visą šalį, nepakeičia autentifikavimo, o autentifikuotas naudotojas užblokuotoje šalyje yra taisyklės klausimas, o ne klaida.

6 patikra: užrašykite ir patikrinkite abu kelius

Užrašykite paslaugą, įėjimo taisyklę, numatytą vietos apimtį, išimtis ir atkūrimo savininką. Tada po pakeitimo išbandykite mobilųjį kelią ir bent vieną svetainės kelią, kad apribojimas liktų susietas su paslauga, kuriai jis skirtas.

Galiausiai perskaitykite atmetimą, nuo kurio pradėjote. Jei jis pasikeitė iš vietos atmetimo į autentifikavimo ar autorizacijos gedimą, įėjimo problema išspręsta ir dabar matoma kita. Aukščiau aprašytai etapų tvarkai WatchGuard gairės dėl IKEv2 atmetimų yra nuoroda.