Gammel IOS SSL VPN: pakke, profil, gateway, sesjon

Du finner en klientinstallasjon på flash på ruteren og konkluderer med at SSL VPN er konfigurert. Det er én av fire komponenter, og de tre andre avgjør om noen i det hele tatt kan koble til. På gammel IOS SSL VPN er delene separate objekter: klientpakken på headend, en valgfri klientprofil, WebVPN-gatewayen som avslutter TLS, og konteksten pluss gruppepolicyen som holder autentiserings- og sesjonsinnstillingene. Mangler én, ser feilen lik ut fra utsiden.

Ciscos IOS SSL VPN-konfigurasjonseksempel, bygget på IOS 15.3 med AnyConnect 3.1, er nyttig nettopp fordi det holder disse objektene fra hverandre. Les det som en beskrivelse av den eldre implementasjonen, ikke som en anbefaling om å ta i bruk de versjonene.

Først pakken: hva den er og ikke er

Pakken på headend leverer klientprogramvare for én plattform. Den er verken profilen eller lytteren, og en fil som ligger på flash beviser bare at noen lastet opp noe. Den beviser ikke at en sesjon noen gang brukte den, at plattformen passer brukerens enhet, eller at gatewayen refererer til den i det hele tatt.

Bekreft det nøyaktige filnavnet, plattformen den er rettet mot, og hvor konfigurasjonen peker på den. En Windows-pakke sier ingenting om telefoner, og en opplastet fil som ingen gateway-objekter nevner, er lagring og ikke konfigurasjon. En pakke som passer plattformen men aldri knyttes til tjenesten, blir ikke tilbudt noen bruker. Det samme gjelder en der filnavnet avviker fra verdien konfigurasjonen forventer.

Deretter profilen: innstillinger, ikke programvare

En valgfri klientprofil bærer innstillinger som en administrator forbereder separat, som serverlister eller klientpreferanser. Å forveksle den med en installasjonspakke er vanlig fordi begge kommer som filer med like navn. Forventer utrullingen en profil, endrer fraværet hva klienten gjør etter tilkobling, ikke om den kobler til.

Inventar begge artefaktene og noter hvilken gatewayen faktisk refererer til. Den ene linjen forhindrer en hel klasse støttesaker der to personer snakker om forskjellige filer.

Tredje, lytteren og TLS-identiteten

Gateway-objektet definerer adressen og porten omverdenen når, og sertifikatet som presenteres under håndtrykket. En nettleser som når en portalforside, en klient som fullfører autentisering, og en applikasjon som når en privat server er tre separate observasjoner, og bare den første er en lyttertest. Når håndtrykket feiler, er ingenting lenger ned viktig ennå, så kontroller sertifikatkjeden og navnet før du endrer noen policy.

Skriv ned den forventede identiteten et sted. Et fornyet eller erstattet sertifikat er den vanligste grunnen til at en utrulling som virket forrige måned slutter å virke denne.

Fjerde, konteksten og policyen med den virtuelle malen

Konteksten og gruppepolicyen binder autentisering til sesjonsatferd: adressepool, splittede ruter, DNS og hvilke interne nettverk en bruker kan nå. Det dokumenterte eksempelet knytter konteksten sin til en virtuell mal som gir grensesnittatferd per sesjon, og disse serversideobjektene finnes uavhengig av hva en bruker laster ned.

Når en bruker autentiserer men ikke når noe, ligger feilen vanligvis her og ikke i klienten. Sammenlign poolen, rutene klienten får og ACL-en som tillater videre trafikk, og kontroller dem mot det brukeren rapporterer, ikke mot det designet mente.

Kontroller i rekkefølge og stopp ved første feil

Gå gjennom de fire komponentene i den rekkefølgen en tilkobling møter dem: lytter, autentisering, policy, deretter klientatferd. Bekreft TLS med den forventede identiteten, autentiser en kjent god konto, les den tildelte adressen og rutene fra sesjonen, og sammenlign først etterpå klientens plattform med pakken. Å stoppe ved første feil holder én variabel i spill, og det er forskjellen mellom en reparasjon og en gjetning.

For en telefon eller en hvilken som helst klient utenfor det historiske skrivebordseksempelet, skaff den virkelige støttede klient- og gateway-kontrakten i stedet for å anta at Windows-arbeidsflyten generaliserer. Å endre en forespurt protokoll gjør ikke en IKEv2-profil til denne SSL VPN-tjenesten, og å installere en skrivebordspakke beviser ingenting om mobil støtte.