Penolakan geolokasi Firebox: cari peringkat masuk VPN dahulu

Seseorang di negara lain tidak dapat menyambung, dan naluri pertama ialah melihat peraturan yang memberikan akses kepada sumber dalaman. Peraturan itu berjalan selepas penerimaan, jadi ia tidak boleh menjadi perkara yang menolak terowong. Peringkat yang menyekat berada di suatu tempat dalam laluan masuk, dan Firebox mempunyai lebih daripada satu laluan masuk bergantung pada perkhidmatan VPN. Lakukan pemeriksaan mengikut urutan dan berhenti sebaik salah satu daripadanya menjelaskan penolakan itu.

Pemeriksaan 1: namakan perkhidmatan masuk

Untuk Mobile VPN dengan SSL, Access Portal dan BOVPN melalui TLS, entri masuk ialah dasar WatchGuard SSLVPN. Gunakan sekatan yang dimaksudkan di situ, pada perkhidmatan yang benar-benar dikonfigurasikan, bukannya menyimpulkannya daripada peraturan akses pengguna yang berjalan kemudian.

IPsec melalui laluan berbeza. Dasar IPSec terbina membenarkan trafik IPsec luaran ke Firebox untuk perkhidmatan cawangan dan VPN mudah alih yang berkenaan, dan ia mengatasi dasar IPSec yang dibuat secara manual. Jika klien anda IKEv2, anda berada di laluan kedua itu, dan dasar SSLVPN tidak berkaitan.

Silap di sini ialah petang yang paling kerap terbuang dalam bidang ini: menyunting dasar yang tidak pernah melihat paket itu, kemudian membuat kesimpulan bahawa sekatan itu tidak berfungsi.

Pemeriksaan 2: baca penolakan, bukan teori

Lakukan satu percubaan dibenarkan yang terkawal dan hubungkan empat perkara: alamat sumber awam klien, perkhidmatan masuk yang dicapai, dasar yang sepadan, dan sebarang sebab penolakan dalam log. Panduan penyelesaian masalah IKEv2 WatchGuard menyatakan bahawa geolokasi dan pengendalian paket lalai boleh menolak trafik sebelum penerimaan dasar terbina, yang bermaksud penolakan yang anda lihat mungkin menamakan peringkat yang belum anda pertimbangkan.

Klasifikasi negara mengikut sumber rangkaian yang diperhatikan. Pengguna perayauan, NAT di hulu atau laluan diluluskan yang berbeza boleh mengubah apa yang dilihat Firebox, jadi sahkan alamat itu dan bukan penerangan pengguna tentang lokasinya. Minta alamat awam yang dilihat klien, dan bandingkannya dengan sumber dalam log Firebox. Apabila kedua-duanya berbeza, klasifikasi mengikut laluan yang tidak disebut oleh sesiapa.

Pemeriksaan 3: adakah dasar terbina masih menjadi pemilik?

Jika dasar IPSec manual kelihatan diabaikan, semak sama ada dasar terbina masih diaktifkan. Peraturan manual yang dilindungi oleh peraturan terbina berkeutamaan lebih tinggi dan peraturan manual yang menjadi satu-satunya penerimaan ialah konfigurasi berbeza dengan antara muka yang kelihatan serupa.

Tentukan yang mana anda mahu memiliki laluan itu. Jika dasar manual, dasar terbina mesti dinyahdayakan untuk trafik itu, dan di situlah pemeriksaan seterusnya bermula.

Pemeriksaan 4: rancang penggantian sebelum menyahdayakan

Menyahdayakan dasar IPSec terbina membuang penerimaannya untuk perkhidmatan VPN yang terjejas. Itu termasuk terowong cawangan yang mungkin tidak anda fikirkan semasa membaiki sambungan seorang pengguna mudah alih.

Rancang penggantian lengkap terlebih dahulu: perkhidmatan mana yang memerlukan penerimaan, skop sumber mana yang mereka dapat, dan bagaimana anda akan menguruskan perkakas jika perubahan itu tidak menjadi. Kekalkan laluan pengurusan dan pemulihan bebas terbuka, kerana kesilapan di sini boleh membuang terowong yang akan anda gunakan untuk membaikinya. Catat langkah pemulihan dalam rekod perubahan, termasuk cara mencapai perkakas jika laluan VPN tiada. Kemudian uji pembaharuan, bukan hanya sambungan pertama.

Konektiviti aktif dan rundingan semula kemudian kedua-duanya boleh bergantung pada penerimaan. Perubahan yang berfungsi untuk sesi yang anda uji dan gagal pada pertukaran kunci seterusnya ialah hasil klasik menggantikan penerimaan tanpa menguji pembaharuan.

Pemeriksaan 5: asingkan identiti daripada lokasi

Geolokasi menambah konteks kepada keputusan masuk. Ia tidak menetapkan siapa pengguna, dan ia tidak sepatutnya menggantikan pemeriksaan identiti gerbang, kebenaran akaun atau MFA.

Jika keperluan perniagaan hanya pengguna diluluskan dari tempat diluluskan, anda memerlukan kedua-dua kawalan. Peraturan lokasi yang menerima seluruh negara bukan pengganti pengesahan, dan pengguna yang disahkan di negara yang disekat ialah persoalan dasar, bukan pepijat.

Pemeriksaan 6: rekodkan dan sahkan kedua-dua laluan

Catat perkhidmatan, dasar masuk, skop lokasi yang dimaksudkan, pengecualian dan pemilik pemulihan. Kemudian uji laluan mudah alih dan sekurang-kurangnya satu laluan tapak selepas perubahan, supaya sekatan itu kekal terikat pada perkhidmatan yang direka untuk dikawalnya.

Akhir sekali, baca semula penolakan yang anda mulakan. Jika ia telah berubah daripada penolakan lokasi kepada kegagalan pengesahan atau kebenaran, masalah masuk telah selesai dan satu lagi kini kelihatan. Panduan WatchGuard tentang penolakan IKEv2 ialah rujukan untuk susunan peringkat yang diterangkan di atas.