Vecais IOS SSL VPN: pakotne, profils, vārteja, sesija

Jūs atrodat klienta instalētāju maršrutētāja zibļatmiņā un secināt, ka SSL VPN ir konfigurēts. Tā ir viena sastāvdaļa no četrām, un pārējās trīs izlemj, vai kāds vispār varēs pieslēgties. Vecajā IOS SSL VPN daļas ir atsevišķi objekti: galvenā mezgla klienta pakotne, neobligāts klienta profils, WebVPN vārteja, kas izbeidz TLS, un konteksts kopā ar grupas politiku, kurā glabājas autentifikācijas un sesijas iestatījumi. Ja kādu izlaižat, kļūme no ārpuses izskatās tāpat.

Cisco IOS SSL VPN konfigurācijas piemērs, veidots uz IOS 15.3 ar AnyConnect 3.1, ir noderīgs tieši tāpēc, ka tur šos objektus atsevišķi. Lasiet to kā tā vecākā risinājuma aprakstu, nevis kā ieteikumu izvietot tās versijas.

Pirmkārt, pakotne: kas tā ir un kas nav

Galvenā mezgla pakotne piegādā klienta programmatūru vienai platformai. Tā nav ne profils, ne klausītājs, un fails, kas vienkārši guļ zibļatmiņā pierāda tikai to, ka kāds kaut ko augšupielādēja. Tas nepierāda, ka sesija to kādreiz izmantoja, ka platforma atbilst lietotāja ierīcei vai ka vārteja uz to vispār atsaucas.

Pārbaudiet precīzu faila nosaukumu, platformu, kurai tas paredzēts, un to, kur konfigurācija uz to norāda. Windows pakotne neko nepasaka par tālruņiem, un augšupielādēts fails, ko nemin neviena vārtejas objekts, ir krātuve, nevis konfigurācija. Pakotne, kas atbilst platformai, bet nekad nav saistīta ar pakalpojumu, netiks piedāvāta nevienam lietotājam. Tāpat arī tāda, kuras faila nosaukums atšķiras no konfigurācijas gaidītās vērtības.

Otrkārt, profils: iestatījumi, nevis programmatūra

Neobligāts klienta profils satur iestatījumus, ko administrators sagatavo atsevišķi, piemēram, serveru sarakstus vai klienta izvēles. To sajaukt ar instalētāju ir ierasti, jo abi atnāk kā faili ar līdzīgiem nosaukumiem. Ja izvietojums sagaida profilu, tā trūkums maina to, ko klients dara pēc pieslēgšanās, nevis to, vai tas pieslēdzas vispār.

Uzskaitiet abus artefaktus un pierakstiet, uz kuru no tiem vārteja patiešām atsaucas. Šī viena rinda novērš veselu atbalsta pieteikumu klasi, kuros divi cilvēki runā par dažādiem failiem.

Treškārt, klausītājs un TLS identitāte

Vārtejas objekts nosaka adresi un portu, ko sasniedz ārējā pasaule, un sertifikātu, kas tiek uzrādīts rokasspiediena laikā. Pārlūks, kas sasniedz portāla lapu, klients, kas pabeidz autentifikāciju, un lietojumprogramma, kas sasniedz privātu serveri, ir trīs atsevišķi novērojumi, un tikai pirmais ir klausītāja tests. Kad rokasspiediens neizdodas, viss tālākais vēl nav svarīgs, tāpēc pirms jebkuras politikas maiņas pārbaudiet sertifikātu ķēdi un vārdu.

Pierakstiet gaidīto identitāti kaut kur. Atjaunots vai nomainīts sertifikāts ir visbiežākais iemesls, kāpēc izvietojums, kas strādāja pagājušajā mēnesī, pārstāj strādāt šajā.

Ceturtkārt, konteksts un politika ar virtuālo veidni

Konteksts un grupas politika saista autentifikāciju ar sesijas uzvedību: adrešu kopu, sadalītajiem maršrutiem, DNS un to, kurus iekšējos tīklus lietotājs drīkst sasniegt. Dokumentētajā piemērā konteksts ir piesaistīts virtuālajai veidnei, kas nodrošina katras sesijas saskarnes uzvedību, un šie servera puses objekti pastāv neatkarīgi no tā, ko lietotājs lejupielādē.

Kad lietotājs autentificējas, bet neko nesasniedz, vaina parasti ir šeit, nevis klientā. Salīdziniet kopu, klientam nodotos maršrutus un ACL, kas atļauj tālāko datplūsmu, un pārbaudiet tos pret to, ko ziņo lietotājs, nevis pret to, ko bija iecerējis projekts.

Pārbaudiet pēc kārtas un apstājieties pie pirmās kļūdas

Izejiet četras sastāvdaļas tādā secībā, kādā tās satiek savienojums: klausītājs, autentifikācija, politika, tad klienta uzvedība. Apstipriniet TLS ar gaidīto identitāti, autentificējiet zināmi labu kontu, nolasiet piešķirto adresi un maršrutus no sesijas un tikai pēc tam salīdziniet klienta platformu ar pakotni. Apstāšanās pie pirmās kļūdas notur spēlē vienu mainīgo, un tā ir atšķirība starp remontu un minējumu.

Tālrunim vai jebkuram klientam ārpus šī vēsturiskā darbvirsmas piemēra iegūstiet īsto atbalstītā klienta un vārtejas līgumu, nevis pieņemiet, ka Windows darbplūsma vispārinās. Pieprasītā protokola maiņa nepārvērsīs IKEv2 profilu par šo SSL VPN pakalpojumu, un darbvirsmas pakotnes instalēšana neko nepierāda par mobilo atbalstu.