Starszy IOS SSL VPN: pakiet, profil, brama, sesja

Znajdujesz instalator klienta w pamięci flash routera i wyciągasz wniosek, że SSL VPN jest skonfigurowany. To tylko jeden z czterech elementów, a pozostałe trzy decydują, czy ktokolwiek zdoła się połączyć. W starszym IOS SSL VPN części są odrębnymi obiektami: pakiet klienta na węźle nadrzędnym, opcjonalny profil klienta, brama WebVPN kończąca TLS oraz kontekst i polityka grupy przechowujące ustawienia uwierzytelniania i sesji. Pominięcie jednego sprawia, że awaria wygląda z zewnątrz tak samo.

Przykład konfiguracji Cisco IOS SSL VPN, zbudowany na IOS 15.3 z AnyConnect 3.1, jest przydatny właśnie dlatego, że trzyma te obiekty osobno. Czytaj go jako opis tej starszej implementacji, a nie jako zalecenie wdrażania tych wersji.

Po pierwsze, pakiet: czym jest, a czym nie jest

Pakiet na węźle nadrzędnym dostarcza oprogramowanie klienta dla jednej platformy. Nie jest ani profilem, ani odbiornikiem, a plik leżący w pamięci flash dowodzi tylko, że ktoś coś przesłał. Nie dowodzi, że jakakolwiek sesja go użyła, że platforma pasuje do urządzenia użytkownika ani że brama w ogóle się do niego odwołuje.

Potwierdź dokładną nazwę pliku, platformę, dla której jest przeznaczony, i miejsce, w którym konfiguracja na niego wskazuje. Pakiet dla Windows nie mówi nic o telefonach, a przesłany plik, którego nie wymienia żaden obiekt bramy, jest magazynem, nie konfiguracją. Pakiet zgodny z platformą, ale nigdy niepowiązany z usługą, nie zostanie zaproponowany żadnemu użytkownikowi. Podobnie ten, którego nazwa pliku różni się od wartości oczekiwanej przez konfigurację.

Po drugie, profil: ustawienia, a nie oprogramowanie

Opcjonalny profil klienta niesie ustawienia przygotowywane przez administratora osobno, takie jak listy serwerów czy preferencje klienta. Mylenie go z instalatorem jest częste, bo oba przychodzą jako pliki o podobnych nazwach. Jeśli wdrożenie oczekuje profilu, jego brak zmienia to, co klient robi po połączeniu, a nie to, czy się łączy.

Zinwentaryzuj oba artefakty i zapisz, do którego z nich brama faktycznie się odwołuje. Ten jeden wiersz zapobiega całej klasie zgłoszeń do pomocy technicznej, w których dwie osoby rozmawiają o różnych plikach.

Po trzecie, odbiornik i tożsamość TLS

Obiekt bramy określa adres i port, do których dociera świat zewnętrzny, oraz certyfikat przedstawiany podczas uzgadniania połączenia. Przeglądarka docierająca do strony portalu, klient kończący uwierzytelnianie i aplikacja docierająca do prywatnego serwera to trzy odrębne obserwacje, a tylko pierwsza jest testem odbiornika. Gdy uzgadnianie się nie udaje, nic poniżej jeszcze nie ma znaczenia, więc sprawdź łańcuch certyfikatów i nazwę, zanim zmienisz jakąkolwiek politykę.

Zapisz oczekiwaną tożsamość gdzieś. Odnowiony lub wymieniony certyfikat to najczęstsza przyczyna tego, że wdrożenie działające w zeszłym miesiącu przestaje działać w tym.

Po czwarte, kontekst i polityka z jej szablonem wirtualnym

Kontekst i polityka grupy wiążą uwierzytelnianie z zachowaniem sesji: pule adresów, rozdzielone trasy, DNS oraz to, do których sieci wewnętrznych użytkownik może dotrzeć. Udokumentowany przykład przypina kontekst do szablonu wirtualnego, który nadaje zachowanie interfejsu dla każdej sesji, a te obiekty po stronie serwera istnieją niezależnie od tego, co użytkownik pobiera.

Gdy użytkownik uwierzytelnia się, ale do niczego nie dociera, usterka zwykle tkwi tutaj, a nie w kliencie. Porównaj pulę, trasy przekazane klientowi i ACL dopuszczającą dalszy ruch, i sprawdź je wobec tego, co zgłasza użytkownik, a nie wobec tego, co zakładał projekt.

Sprawdzaj po kolei i zatrzymaj się przy pierwszym błędzie

Przejdź cztery elementy w kolejności, w jakiej napotyka je połączenie: odbiornik, uwierzytelnianie, polityka, a potem zachowanie klienta. Potwierdź TLS z oczekiwaną tożsamością, uwierzytelnij znane dobre konto, odczytaj przydzielony adres i trasy z sesji, i dopiero potem porównaj platformę klienta z pakietem. Zatrzymanie się przy pierwszym błędzie utrzymuje w grze jedną zmienną, i to jest różnica między naprawą a zgadywaniem.

Dla telefonu lub dowolnego klienta spoza tego historycznego przykładu desktopowego zdobądź prawdziwą obsługiwaną umowę klienta i bramy, zamiast zakładać, że przepływ Windows się uogólnia. Zmiana żądanego protokołu nie zamieni profilu IKEv2 w tę usługę SSL VPN, a instalacja pakietu desktopowego niczego nie dowodzi o obsłudze mobilnej.