Ċaħda tal-ġeolokazzjoni tal-Firebox: sib l-istadju tad-dħul VPN l-ewwel

Xi ħadd f'pajjiż ieħor ma jistax jgħaqqad, u l-ewwel istint huwa li tħares lejn ir-regola li tagħti aċċess għar-riżorsi interni. Dik ir-regola taħdem wara l-ammissjoni, għalhekk ma tistax tkun dik li tirrifjuta t-tunnel. L-istadju li jimblokka jinsab xi mkien fil-passaġġ tad-dħul, u l-Firebox għandu aktar minn passaġġ tad-dħul wieħed skont is-servizz VPN. Agħmel il-verifiki fl-ordni u waqaf hekk kif wieħed minnhom jispjega ċ-ċaħda.

Verifika 1: semmi s-servizz li jidħol

Għall-Mobile VPN b'SSL, Access Portal u BOVPN fuq TLS, id-dħul li jidħol huwa l-politika WatchGuard SSLVPN. Applika r-restrizzjoni maħsuba hemmhekk, fuq is-servizz attwalment konfigurat, minflok ma tiddeduċiha minn regola ta' aċċess tal-utent li taħdem aktar tard.

IPsec jieħu passaġġ differenti. Il-politika IPSec integrata tippermetti traffiku IPsec estern lejn il-Firebox għas-servizzi tal-fergħa u VPN mobbli applikabbli, u għandha preċedenza fuq politika IPSec maħluqa manwalment. Jekk il-klijent tiegħek huwa IKEv2, int fuq dak it-tieni passaġġ, u l-politika SSLVPN mhijiex rilevanti.

Li tiżbalja hawn huwa l-iktar nofsinhar mitluf f'dan il-qasam: teditja politika li qatt ma tara l-pakkett, imbagħad tikkonkludi li r-restrizzjoni ma taħdimx.

Verifika 2: aqra ċ-ċaħda, mhux it-teorija

Agħmel tentattiv wieħed permess u kkontrollat u qabbad erba' affarijiet: l-indirizz tas-sors pubbliku tal-klijent, is-servizz tad-dħul li laħaq, il-politika li qabdet, u kull raġuni taċ-ċaħda fil-log. Il-gwida tal-ħsol tal-problemi IKEv2 ta' WatchGuard tinnota li l-ġeolokazzjoni u l-immaniġġjar tal-pakketti awtomatiku jistgħu jiċħdu traffiku qabel l-ammissjoni tal-politika integrata, li jfisser li ċ-ċaħda li tara tista' ssemmi stadju li ma kkunsidrajtx.

Il-klassifikazzjoni tal-pajjiż issegwi s-sors tan-netwerk osservat. Utent roaming, NAT aktar 'il fuq jew passaġġ approvat differenti jistgħu jbiddlu dak li jara l-Firebox, għalhekk ikkonferma l-indirizz u mhux id-deskrizzjoni tal-utent ta' fejn jinsab. Itlob l-indirizz pubbliku li jara l-klijent, u qabblu mas-sors fil-log tal-Firebox. Meta jkunu differenti, il-klassifikazzjoni ssegwi passaġġ li ħadd ma semma.

Verifika 3: il-politika integrata għadha l-proprjetarja?

Jekk politika IPSec manwali tidher injorata, iċċekkja jekk dik integrata għadhiex attivata. Regola manwali mgħottija b'regola integrata ta' prijorità ogħla u regola manwali li hija l-unika ammissjoni huma konfigurazzjonijiet differenti b'interfaċċja li tidher l-istess.

Iddeċiedi liema waħda għandha tippossjedi l-passaġġ. Jekk hija l-politika manwali, dik integrata trid tiġi diżattivata għal dak it-traffiku, u hemmhekk tibda l-verifika li jmiss.

Verifika 4: ippjana s-sostituzzjoni qabel ma tiddiżattiva

Id-diżattivazzjoni tal-politika IPSec integrata tneħħi l-ammissjoni tagħha għas-servizzi VPN affettwati. Dan jinkludi tunnels tal-fergħa li forsi m'intix qed taħseb dwarhom waqt li tkun qed issewwi l-konnessjoni ta' utent mobbli wieħed.

L-ewwel ippjana s-sostituzzjoni sħiħa: liema servizzi jeħtieġu ammissjoni, liema ambjenti tas-sors jingħataw, u kif se tmexxi l-apparat jekk il-bidla tmur ħażin. Żomm passaġġ indipendenti ta' ġestjoni u rkupru miftuħ, għax żball hawn jista' jneħħi t-tunnel li kont tuża biex issewwih. Innota l-passi tal-irkupru fir-rekord tal-bidla, inkluż kif tasal għall-apparat jekk il-passaġġ VPN ma jkunx hemm. Imbagħad ittestja t-tiġdid, mhux biss l-ewwel konnessjoni.

Il-konnettività attiva u n-negozjar mill-ġdid aktar tard jistgħu t-tnejn jiddependu fuq l-ammissjoni. Bidla li taħdem għas-sessjoni li ttestjajt u tfalli fil-bidla tal-kjavi li jmiss hija riżultat klassiku ta' sostituzzjoni tal-ammissjoni mingħajr ma tittestja t-tiġdid.

Verifika 5: żomm l-identità separata mill-post

Il-ġeolokazzjoni żżid kuntest ma' deċiżjoni tad-dħul. Hija ma tistabbilixxix min hu l-utent, u m'għandhiex tissostitwixxi l-verifiki tal-identità tal-gateway, l-awtorizzazzjoni tal-kont jew l-MFA.

Jekk ir-rekwiżit tan-negozju huwa biss utenti approvati minn postijiet approvati, għandek bżonn iż-żewġ kontrolli. Regola tal-post li tammetti pajjiż sħiħ mhijiex sostitut għall-awtentikazzjoni, u utent awtentikat f'pajjiż imblukkat hija kwistjoni ta' politika, mhux bug.

Verifika 6: irrekordjaha u ivverifika ż-żewġ passaġġi

Innota s-servizz, il-politika tad-dħul, l-ambitu tal-post maħsub, l-eċċezzjonijiet u l-proprjetarju tal-irkupru. Imbagħad ittestja l-passaġġ mobbli u mill-inqas passaġġ wieħed tas-sit wara l-bidla, sabiex ir-restrizzjoni tibqa' marbuta mas-servizz li għalih kienet iddisinjata.

Fl-aħħar, aqra mill-ġdid iċ-ċaħda li bdejt biha. Jekk inbidlet minn ċaħda tal-post għal falliment ta' awtentikazzjoni jew awtorizzazzjoni, il-problema tad-dħul hija solvuta u oħra hija issa viżibbli. Gwida ta' WatchGuard dwar iċ-ċaħdiet IKEv2 hija r-referenza għall-ordni tal-istadji deskritta hawn fuq.