Одбивање по геолокација на Firebox: прво најдете ја фазата на влез во VPN

Некој во друга земја не може да се поврзе, и првиот инстинкт е да се погледне правилото што дава пристап до внатрешните ресурси. Тоа правило работи по приемот, така што не може да биде она што го одбива тунелот. Фазата што блокира е некаде на влезната патека, а Firebox има повеќе од една влезна патека во зависност од VPN услугата. Изведете ги проверките по ред и застанете штом една од нив го објасни одбивањето.

Проверка 1: наведете ја дојдовната услуга

За Mobile VPN со SSL, Access Portal и BOVPN преку TLS, дојдовниот влез е политиката WatchGuard SSLVPN. Применете го предвиденото ограничување таму, на навистина конфигурираната услуга, наместо да го изведувате од правило за пристап на корисник што работи подоцна.

IPsec оди по друг пат. Вградената IPSec политика дозволува надворешен IPsec сообраќај до Firebox за соодветните филијални и мобилни VPN услуги и има предност пред рачно создадена IPSec политика. Ако вашиот клиент е IKEv2, вие сте на тој втор пат, а политиката SSLVPN е неважна.

Грешењето овде е најчесто изгубеното попладне во оваа област: уредување политика што никогаш не го гледа пакетот, а потоа заклучок дека ограничувањето не работи.

Проверка 2: прочитајте го одбивањето, не теоријата

Направете еден контролиран дозволен обид и поврзете четири работи: јавната изворна адреса на клиентот, влезната услуга што ја погоди, политиката што се совпадна и било која причина за одбивање во дневникот. Упатството на WatchGuard за решавање проблеми со IKEv2 забележува дека геолокацијата и стандардното ракување со пакети можат да го одбијат сообраќајот пред приемот на вградената политика, што значи дека одбивањето што го гледате може да наведе фаза што не сте ја разгледале.

Класификацијата на земјата ја следи забележаниот мрежен извор. Роаминг корисник, NAT погоре или друг одобрен пат можат да го променат она што го гледа Firebox, затоа потврдете ја адресата, а не описот на корисникот за тоа каде е. Побарајте ја јавната адреса што ја гледа клиентот и споредете ја со изворот во дневникот на Firebox. Кога тие се разликуваат, класификацијата следи пат што никој не го спомна.

Проверка 3: дали вградената политика е сѐ уште сопственик?

Ако изгледа дека рачната IPSec политика се игнорира, проверете дали вградената е сѐ уште овозможена. Рачно правило што е засенето од вградено правило со повисок приоритет и рачно правило што е единствениот прием се различни конфигурации со сличен изглед во интерфејсот.

Одлучете која треба да ја поседува патеката. Ако е рачната политика, вградената мора да се исклучи за тој сообраќај, и таму започнува следната проверка.

Проверка 4: планирајте ја замената пред исклучувањето

Исклучувањето на вградената IPSec политика го отстранува нејзиниот прием за засегнатите VPN услуги. Тоа вклучува филијални тунели за кои можеби не размислувате додека го поправате поврзувањето на еден мобилен корисник.

Прво планирајте целосна замена: кои услуги бараат прием, кои изворни опсези ги добиваат и како ќе го управувате уредот ако промената тргне наопаку. Држете отворена независна патека за управување и враќање, бидејќи грешка овде може да го отстрани тунелот што би го користеле за да ја поправите. Забележете ги чекорите за враќање во записот за промена, вклучително како да стигнете до уредот ако патеката VPN ја нема. Потоа тестирајте го обновувањето, не само првото поврзување.

Активната поврзаност и подоцнежното повторно преговарање можат и двете да зависат од приемот. Промена што работи за тестираната сесија и не успева при следната замена на клучот е класичен резултат на замена на приемот без тестирање на обновувањето.

Проверка 5: држете го идентитетот одвоен од локацијата

Геолокацијата додава контекст на одлуката за влез. Таа не утврдува кој е корисникот и не треба да ги замени проверките на идентитетот на портата, авторизацијата на сметката или MFA.

Ако деловното барање е само одобрени корисници од одобрени места, потребни ви се двете контроли. Правило за локација што прима цела земја не е замена за автентикација, а автентикуиран корисник во блокирана земја е прашање на политика, не грешка.

Проверка 6: запишете го и проверете ги двете патеки

Запишете ја услугата, влезната политика, предвидениот опсег на локација, исклучоците и одговорниот за враќање. Потоа тестирајте ја мобилната патека и барем една локација по промената, за да остане ограничувањето поврзано со услугата за која е наменето.

На крајот, прочитајте го повторно одбивањето со кое почнавте. Ако тоа се променило од одбивање по локација во неуспех при автентикација или авторизација, влезниот проблем е решен и сега е видлив друг. Упатство на WatchGuard за одбивања при IKEv2 е референца за редоследот на фазите опишан погоре.