Senoji IOS SSL VPN: paketas, profilis, šliuzas, sesija

Radote kliento diegimo paketą maršrutizatoriaus flash atmintyje ir darote išvadą, kad SSL VPN jau sukonfigūruotas. Tai tik vienas komponentas iš keturių, o likę trys nulemia, ar apskritai kas nors galės prisijungti. Senojoje IOS SSL VPN dalys yra atskiri objektai: pagrindinio mazgo kliento paketas, neprivalomas kliento profilis, TLS užbaigiantis WebVPN šliuzas ir kontekstas bei grupės politika, kuriuose laikomi autentifikavimo ir sesijos nustatymai. Praleiskite vieną – ir iš išorės gedimas atrodys taip pat.

Cisco IOS SSL VPN konfigūracijos pavyzdys, sukurtas su IOS 15.3 ir AnyConnect 3.1, naudingas būtent todėl, kad išlaiko tuos objektus atskirai. Skaitykite jį kaip tos senesnės implementacijos aprašymą, o ne kaip rekomendaciją diegti tas versijas.

Pirma, paketas: kuo jis yra ir kuo nėra

Pagrindinio mazgo paketas tiekia kliento programinę įrangą vienai platformai. Tai nei profilis, nei klausytuvas, o flash atmintyje gulintis failas įrodo tik tai, kad kas nors ką nors įkėlė. Jis neįrodo, kad sesija kada nors juo naudojosi, kad platforma atitinka vartotojo įrenginį ar kad šliuzas į jį apskritai nurodo.

Patikrinkite tikslų failo pavadinimą, platformą, kuriai jis skirtas, ir tai, kur konfigūracija į jį nurodo. Windows paketas nieko nepasako apie telefonus, o įkeltas failas, kurio nemini nė vienas šliuzo objektas, yra saugykla, o ne konfigūracija. Paketas, atitinkantis platformą, bet niekada nesusietas su paslauga, nebus pasiūlytas nė vienam vartotojui. Taip pat ir tas, kurio failo pavadinimas skiriasi nuo konfigūracijos laukiamos reikšmės.

Antra, profilis: nustatymai, o ne programinė įranga

Neprivalomas kliento profilis neša nustatymus, kuriuos administratorius parengia atskirai, pavyzdžiui, serverių sąrašus ar kliento nuostatas. Supainioti jį su diegimo paketu įprasta, nes abu atkeliauja kaip failai panašiais pavadinimais. Jei diegimas tikisi profilio, jo nebuvimas keičia tai, ką klientas daro po prisijungimo, o ne tai, ar jis apskritai prisijungia.

Surašykite abu artefaktus ir užfiksuokite, į kurį iš jų šliuzas iš tikrųjų nurodo. Ta viena eilutė užkerta kelią grupei pagalbos užklausų, kai du žmonės kalba apie skirtingus failus.

Trečia, klausytuvas ir TLS tapatybė

Šliuzo objektas apibrėžia adresą ir prievadą, kuriuos pasiekia išorinis pasaulis, bei sertifikatą, pateikiamą per rankos paspaudimą. Naršyklė, pasiekianti portalo puslapį, klientas, atliekantis autentifikavimą, ir programa, pasiekianti privatų serverį, yra trys atskiri stebėjimai, ir tik pirmasis yra klausytuvo testas. Kai rankos paspaudimas nepavyksta, visa, kas toliau, dar neturi reikšmės, todėl prieš keisdami bet kokią politiką patikrinkite sertifikatų grandinę ir vardą.

Užsirašykite laukiamą tapatybę kur nors. Atnaujintas ar pakeistas sertifikatas yra dažniausia priežastis, kodėl praėjusį mėnesį veikęs diegimas šį mėnesį nustoja veikti.

Ketvirta, kontekstas ir politika su virtualiuoju šablonu

Kontekstas ir grupės politika sieja autentifikavimą su sesijos elgsena: adresų telkiniu, skaidytomis maršrutais, DNS ir tuo, kuriuos vidinius tinklus vartotojas gali pasiekti. Dokumentuotame pavyzdyje kontekstas pririštas prie virtualiojo šablono, suteikiančio kiekvienai sesijai sąsajos elgseną, o tie serverio pusės objektai egzistuoja nepriklausomai nuo to, ką vartotojas atsisiunčia.

Kai vartotojas autentifikuojasi, bet nieko nepasiekia, gedimas paprastai slypi čia, o ne kliente. Palyginkite telkinį, klientui perduotus maršrutus ir ACL, leidžiančią tolesnį srautą, ir patikrinkite juos pagal tai, ką praneša vartotojas, o ne pagal tai, ką numatė projektas.

Tikrinkite iš eilės ir sustokite ties pirmąja klaida

Pereikite keturis komponentus tokia tvarka, kokia juos sutinka ryšys: klausytuvas, autentifikavimas, politika, tada kliento elgsena. Patvirtinkite TLS su laukiama tapatybe, autentifikuokite žinomai gerą paskyrą, perskaitykite priskirtą adresą ir maršrutus iš sesijos ir tik po to palyginkite kliento platformą su paketu. Sustojimas ties pirmąja klaida palieka žaidime vieną kintamąjį, ir tai yra skirtumas tarp remonto ir spėjimo.

Telefonui ar bet kuriam klientui, kuris nepatenka į tą istorinį darbalaukio pavyzdį, gaukite tikrą palaikomo kliento ir šliuzo sutartį, o ne manykite, kad Windows eiga apibendrinama. Pakeitus prašomą protokolą IKEv2 profilis netaps šia SSL VPN paslauga, o darbalaukio paketo įdiegimas nieko neįrodo apie mobiliųjų įrenginių palaikymą.