Een VPN migreren: licenties, functies en beleid als één registratie

Sessies die nog werken op de oude concentrator voelen als bewijs dat de migratie grotendeels klaar is. Ze zijn één inventarisregel, en de minst interessante. Wat de overstap nodig heeft, is een registratie die de doel-gateway, de ondersteunde client, het gekochte recht en het afgedwongen toegangsbeleid verbindt in één artefact dat iemand bezit. Zonder die registratie is de migratie een reeks aannames die elk afzonderlijk redelijk lijken.

Vier kolommen, geen checklist

Wat de hardware kan dragen, wat het contract toestaat en wat de regelset toelaat zijn drie aparte vragen, en ze door elkaar halen levert een plan op dat niemand kan auditen. Houd ze in aparte kolommen en laat elke kolom zijn bron noemen. Een apparaat dat een verbinding accepteert, bewijst dat een apparaat kan verbinden, en dat verklaart niets over de omvang van functies of de telbasis. Drie kolommen die het oneens zijn, zijn veel nuttiger dan één alinea die zelfverzekerd klinkt.

De registratie is klaar wanneer alle vier kolommen zijn ingevuld door iemand die bevoegd is ze in te vullen. Een kolom die door de verkeerde eigenaar is ondertekend, is een gerucht met een datum.

Platform en recht

Leg de ondersteunde gateway, de besturingssystemen van de client, het authenticatiepad en de beheertools vast. Houd een verouderde client niet in leven alleen omdat het oude profiel nog opent, want dat profiel is een compatibiliteitsclaim die de leverancier mogelijk niet meer nakomt. Vergelijk de huidige supportverklaring met de release die u wilt uitrollen.

Leg voor het recht het product, het licentietype, de looptijd en de telbasis vast en stem dat af via de accounteigenaar. Rechten afleiden uit een historische sessieteller is hoe een organisatie een tekort ontdekt ná de overstap in plaats van ervoor.

Bestelgidsen van leveranciers laten zien waarom die onderscheidingen ertoe doen. De bestelgids voor Secure Client van Cisco splitst bijvoorbeeld de niveaus Advantage, Premier en VPN Only, elk met zijn eigen maat en functieomvang. Gebruik de huidige overeenkomst in plaats van een oud label mechanisch te vertalen.

Functies en afgedwongen beleid

Noem de capaciteiten die de uitrol echt nodig heeft: toegestane tunnelmodi, apparaatbeoordeling, authenticatie-integratie en elke andere module. Controleer ondersteuning en recht voor elk afzonderlijk, want een functie kan ondersteund en ongelicenseerd zijn, of gelicenseerd en niet ondersteund op de gekozen release. Alleen een rij die op beide vragen ja zegt, telt.

Wanneer het doel een ASA is, wordt de functiekolom van het apparaat gelezen en niet uit een contract, dus leg de gateway vast vóór de overstapdag. show vpn-sessiondb summary geeft de inventaris van actieve sessies en de aantallen waaraan uw recht wordt gemeten, show vpn-sessiondb detail anyconnect laat zien welk clienttype en profiel elke toegeschreven sessie werkelijk gebruikte, en show running-config webvpn legt de gatewayconfiguratie vast waarvan die sessies afhangen, en dat is het enige deel van de registratie dat geen enkel licentiedocument kan bevatten.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Voer na de overstap dezelfde drie uit op de nieuwe gateway en vergelijk ze met de vastgelegde kopieën. Dat sessieaantallen verschuiven is te verwachten; een clienttype of een webvpn-blok dat aan de ene kant verschijnt en aan de andere niet, is de bevinding, en die hoort met uitleg in de registratie en niet in een ticketcommentaar. Bewaar zowel de ruwe opnamen als de verschillen, want de volgende beoordelaar wil zien wat er is vergeleken. Bij een andere leverancier is het equivalent de eigen sessietabel en profielexport van dat platform, in een formaat dat niet zal aansluiten, dus vergelijk de vragen die eraan worden gesteld en niet de tekst.

Koppel daarna gebruikers en apparaten aan de regels van het doel, de resourcemachtigingen en het afwijsgedrag. Een licentie die een functie mogelijk maakt, is geen configuratie die haar uitoefent, en de kloof tussen die twee is waar de meeste migratieverrassingen leven.

Schrijf de afwijsgevallen met dezelfde zorg op als de toegestane gevallen. Een plan dat alleen bewijst dat een beheerder kan verbinden, heeft het eenvoudigste pad getest en geen van de grenzen.

Accepteer aan beide zijden van de beslissing

Voer vóór de overstap een goedgekeurd acceptatieplan uit over de beoogde clienttypen, de authenticatiemethoden en de resources. Neem een apparaat of identiteit op dat geweigerd moet worden, en bevestig welke regel het heeft geselecteerd en wat de resulterende sessie kan bereiken. Spreek de weigeringsgevallen af voordat het wijzigingsvenster opengaat, zodat niemand ze onder tijdsdruk stil kan laten vallen. Een plan zonder weigeringsgeval heeft het gelukkige pad getest en niets anders.

Houd een terugrolpad en een beheerroute aan die niet afhangt van wat er wordt gemigreerd. Bewaar de configuratie en de identiteitsregistraties veilig, en laat verouderde cryptografische instellingen achter in plaats van ze mee te nemen. Plak nooit licentie-identificaties of gebruikersregistraties in openbare notities.

Laat de eigenaar het recht en de beleidsmapping samen ondertekenen. De voltooide registratie beantwoordt twee vragen tegelijk: wat de organisatie mag uitrollen, en welke regels haar gebruikers werkelijk toelaten en beperken.