Odmowa geolokalizacji w Fireboxie: najpierw znajdź etap wejścia VPN

Ktoś w innym kraju nie może się połączyć, a pierwszy odruch to spojrzenie na regułę, która daje dostęp do zasobów wewnętrznych. Ta reguła działa po dopuszczeniu, więc nie może być tym, co odrzuca tunel. Blokujący etap jest gdzieś na ścieżce wejścia, a Firebox ma więcej niż jedną ścieżkę wejścia w zależności od usługi VPN. Wykonaj kontrole po kolei i zatrzymaj się, gdy tylko jedna z nich wyjaśni odmowę.

Kontrola 1: nazwij usługę przychodzącą

Dla Mobile VPN z SSL, Access Portal i BOVPN przez TLS przychodzącym wejściem jest polityka WatchGuard SSLVPN. Zastosuj zamierzone ograniczenie tam, na faktycznie skonfigurowanej usłudze, zamiast wywodzić je z reguły dostępu użytkownika, która działa później.

IPsec idzie inną ścieżką. Wbudowana polityka IPSec zezwala na zewnętrzny ruch IPsec do Fireboxa dla odpowiednich usług oddziału i mobilnego VPN, i ma pierwszeństwo przed ręcznie utworzoną polityką IPSec. Jeśli twój klient to IKEv2, jesteś na tej drugiej ścieżce, a polityka SSLVPN nie ma znaczenia.

Pomyłka tutaj to najczęściej zmarnowane popołudnie w tej dziedzinie: edytowanie polityki, która nigdy nie widzi pakietu, a potem wniosek, że ograniczenie nie działa.

Kontrola 2: czytaj odmowę, nie teorię

Wykonaj jedną kontrolowaną dozwoloną próbę i powiąż cztery rzeczy: publiczny adres źródłowy klienta, osiągniętą usługę wejścia, pasującą politykę i dowolny powód odmowy w logu. Przewodnik WatchGuard po rozwiązywaniu problemów z IKEv2 zauważa, że geolokalizacja i domyślna obsługa pakietów mogą odmówić ruchu przed dopuszczeniem przez wbudowaną politykę, co oznacza, że widoczna odmowa może wskazywać etap, którego nie rozważałeś.

Klasyfikacja kraju podąża za obserwowanym źródłem sieciowym. Użytkownik w roamingu, NAT wyżej lub inna zatwierdzona ścieżka mogą zmienić to, co widzi Firebox, więc potwierdź adres, a nie opis użytkownika, gdzie się znajduje. Poproś o publiczny adres, który widzi klient, i porównaj go ze źródłem w logu Fireboxa. Gdy się różnią, klasyfikacja podąża ścieżką, której nikt nie wspomniał.

Kontrola 3: czy wbudowana polityka jest nadal właścicielem?

Jeśli ręczna polityka IPSec wydaje się ignorowana, sprawdź, czy wbudowana jest nadal włączona. Ręczna reguła przykryta regułą wbudowaną o wyższym priorytecie i ręczna reguła będąca jedynym dopuszczeniem to różne konfiguracje o podobnie wyglądającym interfejsie.

Zdecyduj, która ma być właścicielem ścieżki. Jeśli to polityka ręczna, wbudowaną trzeba wyłączyć dla tego ruchu, i tam zaczyna się następna kontrola.

Kontrola 4: zaplanuj zamianę przed wyłączeniem

Wyłączenie wbudowanej polityki IPSec usuwa jej dopuszczenie dla objętych usług VPN. Obejmuje to tunele oddziałów, o których może nie myślisz, naprawiając połączenie jednego użytkownika mobilnego.

Najpierw zaplanuj pełną zamianę: które usługi potrzebują dopuszczenia, jakie zakresy źródłowe otrzymują i jak będziesz zarządzać urządzeniem, jeśli zmiana pójdzie źle. Utrzymuj otwartą niezależną ścieżkę zarządzania i odzyskiwania, ponieważ błąd tutaj może usunąć tunel, którego użyłbyś do naprawy. Zapisz kroki odzyskiwania w rejestrze zmian, w tym jak dotrzeć do urządzenia, jeśli ścieżka VPN zniknęła. Następnie przetestuj odnowienie, nie tylko pierwsze połączenie.

Aktywne połączenie i późniejsze ponowne negocjowanie mogą oba zależeć od dopuszczenia. Zmiana, która działa dla testowanej sesji i zawodzi przy następnej wymianie kluczy, to klasyczny wynik zastąpienia dopuszczenia bez testowania odnowienia.

Kontrola 5: trzymaj tożsamość oddzielnie od lokalizacji

Geolokalizacja dodaje kontekst do decyzji o wejściu. Nie ustala, kim jest użytkownik, i nie powinna zastępować kontroli tożsamości bramy, autoryzacji konta ani MFA.

Jeśli wymaganie biznesowe to tylko zatwierdzeni użytkownicy z zatwierdzonych miejsc, potrzebujesz obu kontroli. Reguła lokalizacji, która dopuszcza cały kraj, nie zastępuje uwierzytelniania, a uwierzytelniony użytkownik w zablokowanym kraju to kwestia polityki, nie błąd.

Kontrola 6: zapisz to i zweryfikuj obie ścieżki

Zapisz usługę, politykę wejścia, zamierzony zakres lokalizacji, wyjątki i osobę odpowiedzialną za odzyskiwanie. Następnie przetestuj po zmianie ścieżkę mobilną i co najmniej jedną ścieżkę witryny, aby ograniczenie pozostało przypisane do usługi, dla której je zaprojektowano.

Na koniec przeczytaj ponownie odmowę, od której zacząłeś. Jeśli zmieniła się z odmowy lokalizacyjnej w błąd uwierzytelniania lub autoryzacji, problem wejścia jest rozwiązany i teraz widać inny. Przewodnik WatchGuard dotyczący odmów IKEv2 to odniesienie do opisanego powyżej porządku etapów.