Стариот IOS SSL VPN: пакет, профил, гејтвеј, сесија

Наоѓате инсталер на клиент во флеш меморијата на рутерот и заклучувате дека SSL VPN е конфигуриран. Тоа е само една компонента од четири, а останатите три одлучуваат дали некој воопшто може да се поврзе. Кај стариот IOS SSL VPN деловите се одделни објекти: пакетот на клиентот на главниот јазол, опционален профил на клиент, WebVPN гејтвејот што го завршува TLS и контекстот заедно со групната политика што ги држат поставките за автентикација и сесија. Испуштете еден и неуспехот однадвор изгледа исто.

Примерот за конфигурација на Cisco IOS SSL VPN, изграден на IOS 15.3 со AnyConnect 3.1, е корисен токму затоа што ги држи тие објекти одвоени. Читајте го како опис на таа постара имплементација, а не како препорака да ги распоредите тие верзии.

Прво, пакетот: што е и што не е

Пакетот на главниот јазол доставува клиентски софтвер за една платформа. Тој не е ниту профилот, ниту слушателот, а датотека што лежи во флеш меморијата докажува само дека некој нешто качил. Не докажува дека сесија некогаш го користела, дека платформата одговара на уредот на корисникот или дека гејтвејот воопшто го наведува.

Проверете го точното име на датотеката, платформата за која е наменета и каде конфигурацијата покажува кон неа. Windows пакет не ви кажува ништо за телефоните, а качена датотека што не ја спомнува ниту еден објект на гејтвејот е складиште, а не конфигурација. Пакет што одговара на платформата, но никогаш не е поврзан со услугата, нема да му биде понуден на ниту еден корисник. Исто и оној чие име на датотека се разликува од вредноста што ја очекува конфигурацијата.

Второ, профилот: поставки, а не софтвер

Опционалниот клиентски профил носи поставки што администраторот ги подготвува одделно, како списоци на сервери или клиентски преференци. Неговото мешање со инсталер е честа појава, бидејќи и двете доаѓаат како датотеки со слични имиња. Ако распоредувањето очекува профил, неговото отсуство го менува она што клиентот го прави по поврзувањето, а не дали воопшто се поврзува.

Пописете ги двата артефакти и запишете кон кој од нив гејтвејот навистина покажува. Таа единствена линија спречува цела класа тикети во поддршката каде двајца луѓе зборуваат за различни датотеки.

Трето, слушателот и идентитетот TLS

Објектот на гејтвејот ја дефинира адресата и портата што ги достигнува надворешниот свет и сертификатот што се претставува при ракувањето. Прелистувач што стигнува до портална страница, клиент што ја завршува автентикацијата и апликација што стигнува до приватен сервер се три одделни набљудувања, а само првото е тест на слушателот. Кога ракувањето не успева, ништо понатаму није важно, затоа проверете го синџирот на сертификати и името пред да менувате каква било политика.

Запишете го очекуваниот идентитет некаде. Обновен или заменет сертификат е најчестата причина распоредување што работело минатиот месец да престане да работи овој.

Четврто, контекстот и политиката со виртуелниот шаблон

Контекстот и групната политика ја врзуваат автентикацијата со однесувањето на сесијата: базен на адреси, разделени рути, DNS и кои внатрешни мрежи корисникот смее да ги достигне. Документираниот пример го прикачува својот контекст на виртуелен шаблон што обезбедува однесување на интерфејсот по сесија, а тие објекти на страната на серверот постојат независно од сето она што го презема корисникот.

Кога корисникот се автентикува, но не достигнува ништо, грешката обично е овде, а не во клиентот. Споредете го базенот, рутите доделени на клиентот и ACL-от што дозволува понатамошен сообраќај, и проверете ги спрема она што го пријавува корисникот, а не спрема она што го предвидел дизајнот.

Проверете по ред и застанете на првиот неуспех

Поминете ги четирите компоненти по редоследот по кој ги среќава врската: слушател, автентикација, политика, потоа однесување на клиентот. Потврдете го TLS со очекуваниот идентитет, автентикувајте сметка за која знаете дека е исправна, прочитајте ја доделената адреса и рутите од сесијата и дури потоа споредете ја платформата на клиентот со пакетот. Застанувањето на првиот неуспех држи една променлива во игра, а тоа е разликата меѓу поправка и претпоставка.

За телефон или кој било клиент надвор од тој историски десктоп пример, обезбедете го вистинскиот договор за поддржан клиент и гејтвеј, наместо да претпоставите дека Windows текот се генерализира. Промената на бараниот протокол нема да претвори IKEv2 профил во оваа SSL VPN услуга, а инсталирањето десктоп пакет не докажува ништо за мобилната поддршка.