Firebox ģeolokācijas noraidījums: vispirms atrodiet VPN ieejas posmu

Kāds citā valstī nevar izveidot savienojumu, un pirmā instinkta reakcija ir paskatīties uz noteikumu, kas piešķir piekļuvi iekšējiem resursiem. Šis noteikums darbojas pēc uzņemšanas, tāpēc tas nevar būt tas, kas noraida tuneli. Bloķējošais posms atrodas kaut kur ieejas ceļā, un Firebox ir vairāk nekā viens ieejas ceļš atkarībā no VPN pakalpojuma. Veiciet pārbaudes secīgi un apstājieties, tiklīdz kāda no tām izskaidro noraidījumu.

1. pārbaude: nosauciet ienākošo pakalpojumu

Attiecībā uz Mobile VPN ar SSL, Access Portal un BOVPN virs TLS ienākošā ieeja ir WatchGuard SSLVPN politika. Piemērojiet paredzēto ierobežojumu tur, uz faktiski konfigurētā pakalpojuma, tā vietā lai to secinātu no vēlāk izpildāma lietotāja piekļuves noteikuma.

IPsec iet pa citu ceļu. Iebūvētā IPSec politika atļauj ārēju IPsec datplūsmu uz Firebox attiecīgajiem filiāles un mobilā VPN pakalpojumiem, un tai ir prioritāte pār manuāli izveidotu IPSec politiku. Ja jūsu klients ir IKEv2, jūs esat šajā otrajā ceļā, un SSLVPN politika nav svarīga.

Kļūdīšanās šeit ir visbiežāk izšķērdētā pēcpusdiena šajā jomā: rediģēt politiku, kas nekad neredz pakešu, un pēc tam secināt, ka ierobežojums nedarbojas.

2. pārbaude: lasiet noraidījumu, nevis teoriju

Veiciet vienu kontrolētu atļautu mēģinājumu un sasaistiet četras lietas: klienta publisko avota adresi, sasniegto ieejas pakalpojumu, atbilstošo politiku un jebkuru noraidījuma iemeslu žurnālā. WatchGuard IKEv2 problēmu novēršanas vadlīnijas norāda, ka ģeolokācija un noklusējuma pakešu apstrāde var noraidīt datplūsmu pirms iebūvētās politikas uzņemšanas, kas nozīmē, ka redzamais noraidījums var nosaukt posmu, kuru neesat apsvēris.

Valsts klasifikācija seko novērotajam tīkla avotam. Ceļojošs lietotājs, augstāks NAT vai cits apstiprināts ceļš var mainīt to, ko redz Firebox, tāpēc apstipriniet adresi, nevis lietotāja aprakstu par to, kur viņš atrodas. Pieprasiet publisko adresi, ko redz klients, un salīdziniet to ar avotu Firebox žurnālā. Ja tie atšķiras, klasifikācija seko ceļam, kuru neviens nav minējis.

3. pārbaude: vai iebūvētā politika joprojām ir īpašnieks?

Ja šķiet, ka manuālā IPSec politika tiek ignorēta, pārbaudiet, vai iebūvētā joprojām ir iespējota. Manuāls noteikums, ko aizēno augstākas prioritātes iebūvēts noteikums, un manuāls noteikums, kas ir vienīgā uzņemšana, ir atšķirīgas konfigurācijas ar līdzīgi izskatāmu saskarni.

Izlemiet, kurai jāpārvalda ceļš. Ja tā ir manuālā politika, iebūvētā ir jāizslēdz šai datplūsmai, un tur sākas nākamā pārbaude.

4. pārbaude: plānojiet aizstāšanu pirms izslēgšanas

Iebūvētās IPSec politikas izslēgšana noņem tās uzņemšanu skartajiem VPN pakalpojumiem. Tas ietver filiāles tuneļus, par kuriem jūs, iespējams, nedomājat, kamēr labojat viena mobilā lietotāja savienojumu.

Vispirms plānojiet pilnīgu aizstāšanu: kuriem pakalpojumiem nepieciešama uzņemšana, kādas avota jomas tie saņem un kā pārvaldīsiet ierīci, ja izmaiņas neizdosies. Turiet atvērtu neatkarīgu pārvaldības un atjaunošanas ceļu, jo kļūda šeit var noņemt tuneli, ko izmantotu tā labošanai. Pierakstiet atjaunošanas soļus izmaiņu ierakstā, tostarp kā sasniegt ierīci, ja VPN ceļš ir pazudis. Pēc tam pārbaudiet atjaunošanu, ne tikai pirmo savienojumu.

Aktīvs savienojums un vēlāka atkārtota saruna abi var būt atkarīgi no uzņemšanas. Izmaiņas, kas darbojas pārbaudītajā sesijā un neizdodas nākamajā atslēgas maiņā, ir klasisks uzņemšanas aizstāšanas bez atjaunošanas pārbaudes rezultāts.

5. pārbaude: turiet identitāti atsevišķi no atrašanās vietas

Ģeolokācija pievieno kontekstu ieejas lēmumam. Tā nenosaka, kas ir lietotājs, un tai nevajadzētu aizstāt vārtejas identitātes pārbaudes, konta autorizāciju vai MFA.

Ja biznesa prasība ir tikai apstiprināti lietotāji no apstiprinātām vietām, jums ir vajadzīgas abas kontroles. Atrašanās vietas noteikums, kas atļauj visu valsti, neaizstāj autentifikāciju, un autentificēts lietotājs bloķētā valstī ir politikas jautājums, nevis kļūda.

6. pārbaude: pierakstiet un pārbaudiet abus ceļus

Pierakstiet pakalpojumu, ieejas politiku, paredzēto atrašanās vietas jomu, izņēmumus un atjaunošanas atbildīgo. Pēc tam pārbaudiet mobilā ceļu un vismaz vienu vietnes ceļu pēc izmaiņām, lai ierobežojums paliktu piesaistīts pakalpojumam, kuram tas bija paredzēts.

Visbeidzot, pārlasiet noraidījumu, ar kuru sākāt. Ja tas ir mainījies no atrašanās vietas noraidījuma uz autentifikācijas vai autorizācijas kļūmi, ieejas problēma ir atrisināta un tagad ir redzama cita. Iepriekš aprakstītajai posmu secībai WatchGuard vadlīnijas par IKEv2 noraidījumiem ir atsauce.