Verouderde IOS SSL VPN: pakket, profiel, gateway, sessie

Je vindt een clientinstallatie op de flash van de router en concludeert dat de SSL VPN is geconfigureerd. Dat is één onderdeel van vier, en de overige drie bepalen of iemand kan verbinden. Bij verouderde IOS SSL VPN zijn de onderdelen losse objecten: het clientpakket op de headend, een optioneel clientprofiel, de WebVPN-gateway die TLS beëindigt, en de context plus groepsbeleid met de authenticatie- en sessie-instellingen. Mis er één en de fout ziet er van buiten hetzelfde uit.

Cisco's IOS SSL VPN-configuratievoorbeeld, gebouwd op IOS 15.3 met AnyConnect 3.1, is juist nuttig omdat het die objecten gescheiden houdt. Lees het als een beschrijving van die oudere implementatie, niet als een aanbeveling om die versies te gebruiken.

Eerst het pakket: wat het is en wat het niet is

Het pakket op de headend levert clientsoftware voor één platform. Het is niet het profiel en niet de listener, en een bestand dat op de flash staat bewijst alleen dat iemand iets heeft geüpload. Het bewijst niet dat een sessie het ooit gebruikte, dat het platform bij het apparaat van de gebruiker past, of dat de gateway er überhaupt naar verwijst.

Controleer de exacte bestandsnaam, het platform waarop het is gericht en waar de configuratie ernaar verwijst. Een Windows-pakket zegt niets over telefoons, en een geüpload bestand dat geen enkel gateway-object noemt is opslag, geen configuratie. Een pakket dat bij het platform past maar nooit aan de dienst is gekoppeld, wordt aan geen enkele gebruiker aangeboden. Ook niet een waarvan de bestandsnaam afwijkt van de waarde die de configuratie verwacht.

Ten tweede het profiel: instellingen, geen software

Een optioneel clientprofiel bevat instellingen die een beheerder apart voorbereidt, zoals serverlijsten of clientvoorkeuren. Het verwarren met een installatiepakket komt vaak voor omdat beide als bestanden met vergelijkbare namen binnenkomen. Verwacht de uitrol een profiel, dan verandert het ontbreken ervan wat de client doet ná het verbinden, niet of hij verbindt.

Inventariseer beide artefacten en leg vast naar welke de gateway daadwerkelijk verwijst. Die ene regel voorkomt een hele klasse supporttickets waarin twee mensen over verschillende bestanden praten.

Ten derde de listener en de TLS-identiteit

Het gateway-object bepaalt het adres en de poort die de buitenwereld bereikt en het certificaat dat tijdens de handshake wordt gepresenteerd. Een browser die een portaalpagina bereikt, een client die authenticatie afrondt en een applicatie die een privéserver bereikt zijn drie aparte waarnemingen, en alleen de eerste is een listenertest. Als de handshake mislukt, is alles stroomafwaarts nog niet van belang, dus controleer de certificaatketen en de naam voordat je beleid aanpast.

Schrijf de verwachte identiteit ergens op. Een vernieuwd of vervangen certificaat is de meest voorkomende reden dat een uitrol die vorige maand werkte deze maand stopt.

Ten vierde de context en het beleid met het virtuele template

De context en het groepsbeleid verbinden authenticatie met sessiegedrag: adrespool, gesplitste routes, DNS en welke interne netwerken een gebruiker mag bereiken. Het gedocumenteerde voorbeeld koppelt zijn context aan een virtueel template dat per sessie het interfacegedrag levert, en die objecten aan de serverkant bestaan onafhankelijk van wat een gebruiker downloadt.

Als een gebruiker authenticeert maar niets bereikt, zit de fout meestal hier en niet in de client. Vergelijk de pool, de routes die de client krijgt en de ACL die doorgaand verkeer toestaat, en toets ze aan wat de gebruiker meldt, niet aan wat het ontwerp bedoelde.

Controleer op volgorde en stop bij de eerste fout

Loop de vier onderdelen af in de volgorde waarin een verbinding ze tegenkomt: listener, authenticatie, beleid en dan clientgedrag. Bevestig TLS met de verwachte identiteit, authenticeer een bekend goed account, lees het toegewezen adres en de routes uit de sessie, en vergelijk pas daarna het platform van de client met het pakket. Stoppen bij de eerste fout houdt één variabele in het spel, en dat is het verschil tussen een reparatie en een gok.

Voor een telefoon of een client buiten dat historische desktopvoorbeeld vraag je het echte ondersteunde client- en gatewaycontract op in plaats van aan te nemen dat de Windows-workflow generaliseert. Een gevraagd protocol wijzigen maakt van een IKEv2-profiel nog geen SSL VPN-dienst, en het installeren van een desktoppakket bewijst niets over mobiele ondersteuning.