SSL VPN IOS lama: pakej, profil, gerbang, sesi

Anda menemui pemasang klien pada flash penghala dan membuat kesimpulan bahawa SSL VPN telah dikonfigurasikan. Itu hanya satu komponen daripada empat, dan tiga yang lain menentukan sama ada sesiapa boleh menyambung. Pada SSL VPN IOS lama, kepingan-kepingan itu ialah objek berasingan: pakej klien headend, profil klien pilihan, gerbang WebVPN yang menamatkan TLS, serta konteks dan dasar kumpulan yang menyimpan tetapan pengesahan dan sesi. Tertinggal satu dan kegagalan itu kelihatan sama dari luar.

Contoh konfigurasi Cisco IOS SSL VPN, dibina pada IOS 15.3 dengan AnyConnect 3.1, berguna justeru kerana ia memisahkan objek-objek itu. Bacalah sebagai penerangan pelaksanaan lama itu, bukan sebagai cadangan untuk menggunakan versi tersebut.

Pertama, pakej: apa ia dan apa ia bukan

Pakej headend membekalkan perisian klien untuk satu platform. Ia bukan profil dan bukan pendengar, dan fail yang terletak dalam flash hanya membuktikan bahawa seseorang telah memuat naik sesuatu. Ia tidak membuktikan bahawa sesuatu sesi pernah menggunakannya, bahawa platform sepadan dengan peranti pengguna, atau bahawa gerbang merujuknya sama sekali.

Sahkan nama fail yang tepat, platform yang disasarkan dan tempat konfigurasi merujuknya. Pakej Windows tidak memberitahu apa-apa tentang telefon, dan fail yang dimuat naik yang tidak disebut oleh mana-mana objek gerbang ialah storan, bukan konfigurasi. Pakej yang sepadan dengan platform tetapi tidak pernah dikaitkan dengan perkhidmatan tidak akan ditawarkan kepada mana-mana pengguna. Begitu juga yang nama failnya berbeza daripada nilai yang dijangka oleh konfigurasi.

Kedua, profil: tetapan, bukan perisian

Profil klien pilihan membawa tetapan yang disediakan pentadbir secara berasingan, seperti senarai pelayan atau keutamaan klien. Mengelirukannya dengan pemasang adalah biasa kerana kedua-duanya tiba sebagai fail dengan nama serupa. Jika penggunaan menjangkakan profil, ketiadaannya mengubah apa yang klien lakukan selepas menyambung, bukan sama ada ia menyambung langsung.

Senaraikan kedua-dua artifak dan catat yang mana sebenarnya dirujuk oleh gerbang. Satu baris itu menghalang satu kelas tiket sokongan di mana dua orang membincangkan fail yang berbeza.

Ketiga, pendengar dan identiti TLS

Objek gerbang mentakrifkan alamat dan port yang dicapai oleh dunia luar serta sijil yang dibentangkan semasa jabat tangan. Pelayar yang mencapai halaman portal, klien yang menyelesaikan pengesahan dan aplikasi yang mencapai pelayan peribadi ialah tiga pemerhatian berasingan, dan hanya yang pertama ialah ujian pendengar. Apabila jabat tangan gagal, apa-apa di hilir belum penting lagi, jadi sahkan rantaian sijil dan nama sebelum menyunting mana-mana dasar.

Catat identiti yang dijangka di suatu tempat. Sijil yang diperbaharui atau diganti ialah sebab paling kerap sesuatu penggunaan yang berfungsi bulan lalu berhenti berfungsi bulan ini.

Keempat, konteks dan dasar dengan templat mayanya

Konteks dan dasar kumpulan mengikat pengesahan kepada tingkah laku sesi: kumpulan alamat, laluan berpecah, DNS, dan rangkaian dalaman mana yang boleh dicapai pengguna. Contoh yang didokumenkan mengikat konteksnya pada templat maya yang membekalkan tingkah laku antara muka bagi setiap sesi, dan objek sebelah pelayan itu wujud tanpa bergantung pada apa-apa yang dimuat turun pengguna.

Apabila pengguna berjaya mengesahkan tetapi tidak mencapai apa-apa, kesalahan biasanya di sini, bukan pada klien. Bandingkan kumpulan, laluan yang diberikan kepada klien dan ACL yang membenarkan trafik seterusnya, dan semak semuanya terhadap apa yang dilaporkan pengguna, bukan apa yang dimaksudkan oleh reka bentuk.

Sahkan mengikut urutan dan berhenti pada kegagalan pertama

Lalui empat komponen mengikut urutan sambungan menemuinya: pendengar, pengesahan, dasar, kemudian tingkah laku klien. Sahkan TLS dengan identiti yang dijangka, sahkan akaun yang diketahui baik, baca alamat dan laluan yang diberikan daripada sesi, dan hanya selepas itu bandingkan platform klien dengan pakej. Berhenti pada kegagalan pertama mengekalkan satu pemboleh ubah sahaja dalam permainan, dan itulah perbezaan antara pembaikan dan tekaan.

Untuk telefon atau mana-mana klien di luar contoh desktop sejarah itu, dapatkan kontrak klien dan gerbang yang benar-benar disokong dan bukannya menganggap aliran kerja Windows boleh diperumumkan. Menukar protokol yang diminta tidak akan menjadikan profil IKEv2 sebagai perkhidmatan SSL VPN ini, dan memasang pakej desktop tidak membuktikan apa-apa tentang sokongan mudah alih.