SSL VPN antik fuq IOS: pakkett, profil, gateway u sessjoni

Taqbad installer tal-klijent fuq il-flash tar-router u tikkonkludi li SSL VPN huwa kkonfigurat. Dik hija komponent wieħed minn erbgħa, u t-tlieta l-oħra jiddeċiedu jekk xi ħadd jistax jikkonnettja. Fuq SSL VPN antik fuq IOS il-biċċiet huma oġġetti distinti: il-pakkett tal-klijent tal-headend, profil tal-klijent fakultattiv, il-gateway WebVPN li jtemm it-TLS, u l-kuntest flimkien mal-politika tal-grupp li jżommu l-awtentikazzjoni u s-settings tas-sessjoni. Jekk titlef waħda, il-falliment jidher l-istess minn barra.

L-eżempju ta' konfigurazzjoni ta' Cisco IOS SSL VPN, mibni fuq IOS 15.3 b'AnyConnect 3.1, huwa utli proprju għax iżomm dawk l-oġġetti mifruda. Aqrah bħala deskrizzjoni ta' dik l-implimentazzjoni eqdem, mhux bħala rakkomandazzjoni li tuża dawk il-verżjonijiet.

L-ewwel, il-pakkett: x'inhu u x'inhu mhux

Il-pakkett tal-headend iforni software tal-klijent għal pjattaforma waħda. Mhuwiex il-profil u lanqas min jisma', u fajl li jinsab fil-flash juri biss li xi ħadd tella' xi ħaġa. Ma jurix li sessjoni qatt użatu, li l-pjattaforma taqbel mal-apparat tal-utent, jew li l-gateway jirreferih xejn.

Ivverifika l-isem eżatt tal-fajl, il-pjattaforma li huwa mmirat għaliha u fejn il-konfigurazzjoni tirreferi għalih. Pakkett Windows ma jgħidlek xejn dwar it-telefowns, u fajl imtella' li ma ssemmi l-ebda oġġett tal-gateway huwa ħażna, mhux konfigurazzjoni. Pakkett li jaqbel mal-pjattaforma imma qatt ma jkun assoċjat mas-servizz mhu se jiġi offrut lil ebda utent. Lanqas dak li ismu differenti mill-valur li tistenna l-konfigurazzjoni.

It-tieni, il-profil: settings mhux software

Profil tal-klijent fakultattiv iġorr settings li amministratur iħejji separatament, bħal listi ta' servers jew preferenzi tal-klijent. Li tħawwdu ma' installer huwa komuni għax it-tnejn jaslu bħala fajls b'ismijiet simili. Jekk id-deployment jistenna profil, in-nuqqas tiegħu jbiddel dak li jagħmel il-klijent wara li jikkonnettja, mhux jekk jikkonnettjax xejn.

Iġbor iż-żewġ artefatti u rreġistra liema wieħed il-gateway fil-fatt jirreferi. Dik il-linja waħda tipprevjeni klassi ta' tickets ta' appoġġ fejn żewġ persuni qed jiddiskutu fajls differenti.

It-tielet, min jisma' u l-identità TLS

L-oġġett tal-gateway jiddefinixxi l-indirizz u l-port li jilħaq id-dinja ta' barra u ċ-ċertifikat ippreżentat waqt il-handshake. Browser li jilħaq paġna portal, klijent li jtemm l-awtentikazzjoni, u applikazzjoni li tilħaq server privat huma tliet osservazzjonijiet separati, u l-ewwel waħda biss hija test ta' min jisma'. Meta l-handshake ifalli, xejn 'il quddiem għadu ma jimporta, għalhekk ivverifika l-katina taċ-ċertifikati u l-isem qabel ma tbiddel xi politika.

Ikteb l-identità mistennija x'imkien. Ċertifikat imġedded jew sostitwit huwa l-aktar raġuni frekwenti li deployment li ħadem ix-xahar li għadda jieqaf jaħdem dan.

Ir-raba', il-kuntest u l-politika bil-virtual template tagħha

Il-kuntest u l-politika tal-grupp jorbtu l-awtentikazzjoni mal-imġiba tas-sessjoni: address pool, split routes, DNS, u liema netwerks interni utent jista' jilħaq. L-eżempju dokumentat iqabbad il-kuntest tiegħu ma' virtual template li tforni mġiba tal-interface għal kull sessjoni, u dawk l-oġġetti tan-naħa tas-server jeżistu indipendentement minn kull ħaġa li utent iniżżel.

Meta utent jawtentika imma ma jilħaq xejn, il-ħsara ġeneralment tinsab hawn, mhux fil-klijent. Qabbel il-pool, ir-rotot mogħtija lill-klijent u l-ACL li tippermetti traffiku 'l quddiem, u ċċekkjahom ma' dak li jirrapporta l-utent, mhux ma' dak li kien mahsub fid-disinn.

Ivverifika fl-ordni u waqaf fl-ewwel falliment

Imxi l-erba' komponenti fl-ordni li biha konnessjoni tiltaqgħhom: min jisma', awtentikazzjoni, politika, imbagħad l-imġiba tal-klijent. Ikkonferma t-TLS bl-identità mistennija, awtentika kont magħruf bħala tajjeb, aqra l-indirizz u r-rotot assenjati mis-sessjoni, u wara biss qabbel il-pjattaforma tal-klijent mal-pakkett. Li tieqaf fl-ewwel falliment iżomm varjabbli wieħed fil-logħba, u dik hija d-differenza bejn tiswija u stima.

Għal telefon jew kwalunkwe klijent barra minn dak l-eżempju storiku tad-desktop, ikseb il-kuntratt veru tal-klijent u tal-gateway appoġġjati minflok tassumi li l-fluss Windows jiġġeneralizza. Il-bidla ta' protokoll mitlub mhux se ddawwar profil IKEv2 f'dan is-servizz SSL VPN, u l-installazzjoni ta' pakkett tad-desktop turi xejn dwar appoġġ mobbli.