Gamal IOS SSL VPN: pakke, profil, gateway, sesjon

Du finn ein klientinstallasjon på flash på rutaren og dreg konklusjonen at SSL VPN er konfigurert. Det er éin av fire komponentar, og dei tre andre avgjer om nokon i det heile kan kopla til. På gamal IOS SSL VPN er delane separate objekt: klientpakken på headend, ein valfri klientprofil, WebVPN-gatewayen som avsluttar TLS, og konteksten saman med gruppepolicyen som held autentiserings- og sesjonsinnstillingane. Manglar éin, ser feilen lik ut frå utsida.

Cisco sitt IOS SSL VPN-konfigurasjonseksempel, bygd på IOS 15.3 med AnyConnect 3.1, er nyttig nettopp fordi det held desse objekta frå kvarandre. Les det som ei skildring av den eldre implementasjonen, ikkje som ei tilråding om å ta i bruk dei versjonane.

Fyrst pakken: kva han er og ikkje er

Pakken på headend leverer klientprogramvare for éin plattform. Han er korkje profilen eller lyttaren, og ei fil som ligg på flash beviser berre at nokon lasta opp noko. Ho beviser ikkje at ein sesjon nokon gong brukte han, at plattformen passar brukaren si eining, eller at gatewayen viser til han i det heile.

Stadfest det nøyaktige filnamnet, plattformen han er retta mot, og kvar konfigurasjonen peikar på han. Ein Windows-pakke seier ingenting om telefonar, og ei opplasta fil som ingen gateway-objekt nemner, er lagring og ikkje konfigurasjon. Ein pakke som passar plattformen men aldri blir knytt til tenesta, blir ikkje tilboden nokon brukar. Det same gjeld ein der filnamnet avvik frå verdien konfigurasjonen ventar.

Deretter profilen: innstillingar, ikkje programvare

Ein valfri klientprofil ber innstillingar som ein administrator førebur separat, som serverlister eller klientpreferansar. Å forveksle han med ein installasjonspakke er vanleg fordi begge kjem som filer med like namn. Ventar utrullinga ein profil, endrar fråværet kva klienten gjer etter tilkopling, ikkje om han koplar til.

Inventer begge artefakta og noter kva gatewayen faktisk viser til. Den eine linja hindrar ein heil klasse støttesaker der to personar snakkar om ulike filer.

Tredje, lyttaren og TLS-identiteten

Gateway-objektet definerer adressa og porten omverda når, og sertifikatet som blir presentert under handtrykket. Ein nettlesar som når ei portalforside, ein klient som fullfører autentisering, og ein applikasjon som når ein privat server er tre separate observasjonar, og berre den første er ein lyttartest. Når handtrykket feilar, er ingenting lenger nede viktig enno, så kontroller sertifikatkjeda og namnet før du endrar nokon policy.

Skriv ned den venta identiteten ein stad. Eit fornya eller erstatta sertifikat er den vanlegaste grunnen til at ei utrulling som verka førre månad sluttar å verke denne.

Fjerde, konteksten og policyen med den virtuelle malen

Konteksten og gruppepolicyen bind autentisering til sesjonsåtferd: adressepool, splitta ruter, DNS og kva interne nettverk ein brukar kan nå. Det dokumenterte dømet knyter konteksten sin til ein virtuell mal som gir grensesnittåtferd per sesjon, og desse serversideobjekta finst uavhengig av kva ein brukar lastar ned.

Når ein brukar autentiserer men ikkje når noko, ligg feilen vanlegvis her og ikkje i klienten. Samanlikn poolen, rutene klienten får og ACL-en som tillèt vidare trafikk, og kontroller dei mot det brukaren rapporterer, ikkje mot det designet meinte.

Kontroller i rekkjefølgje og stopp ved første feil

Gå gjennom dei fire komponentane i den rekkjefølgja ei tilkopling møter dei: lyttar, autentisering, policy, deretter klientåtferd. Stadfest TLS med den venta identiteten, autentiser ein kjend god konto, les den tildelte adressa og rutene frå sesjonen, og samanlikn først etterpå plattformen til klienten med pakken. Å stoppe ved første feil held éin variabel i spel, og det er skilnaden mellom ein reparasjon og ei gjetting.

For ein telefon eller ein kvar klient utanfor det historiske skrivebordsdømet, skaff den verkelege støtta klient- og gateway-kontrakten i staden for å anta at Windows-arbeidsflyten let seg generalisere. Å endre ein førespurd protokoll gjer ikkje ein IKEv2-profil til denne SSL VPN-tenesta, og å installere ein skrivebordspakke beviser ingenting om mobil støtte.