Migracja VPN: licencje, funkcje i polityka w jednym zapisie

Sesje, które nadal działają na starym koncentratorze, wydają się dowodem, że migracja jest prawie ukończona. To jednak jedna pozycja inwentarza, i to najmniej interesująca. Przełączenie wymaga zapisu, który wiąże docelową bramę, obsługiwanego klienta, kupione uprawnienie i egzekwowaną politykę wstępu w jeden artefakt, którego ktoś jest właścicielem. Bez niego migracja jest ciągiem założeń, z których każde osobno wygląda rozsądnie.

Cztery kolumny, nie jedna lista kontrolna

Co sprzęt może unieść, na co pozwala umowa i co dopuszcza zestaw reguł, to trzy osobne pytania, a mieszanie ich daje plan, którego nikt nie może zaudytować. Trzymaj je w osobnych kolumnach i wymagaj, aby każda wskazywała swoje źródło. Urządzenie, które przyjmuje połączenie, dowodzi, że urządzenie może się połączyć, i nie wyjaśnia niczego o zakresie funkcji ani podstawie liczenia. Trzy niezgodne kolumny są znacznie użyteczniejsze niż jeden pewnie brzmiący akapit.

Zapis jest gotowy, gdy wszystkie cztery kolumny wypełni ktoś, kto ma do tego prawo. Kolumna podpisana przez niewłaściwego właściciela to plotka z datą.

Platforma i uprawnienie

Zapisz obsługiwaną bramę, systemy operacyjne klienta, ścieżkę uwierzytelniania i narzędzia zarządzania. Nie utrzymuj przestarzałego klienta przy życiu tylko dlatego, że jego stary profil nadal się otwiera, bo ten profil to twierdzenie o zgodności, którego dostawca może już nie dotrzymywać. Porównaj bieżące oświadczenie o wsparciu z wydaniem, które planujesz wdrożyć.

Dla uprawnienia zapisz produkt, typ licencji, okres i podstawę liczenia, a potem uzgodnij to przez właściciela konta. Wyprowadzanie uprawnień z historycznego licznika sesji to sposób, w jaki organizacja odkrywa niedobór po przełączeniu, a nie przed nim.

Przewodniki zamówieniowe dostawców pokazują, dlaczego te rozróżnienia mają znaczenie. Na przykład przewodnik zamówieniowy Secure Client firmy Cisco dzieli poziomy Advantage, Premier i VPN Only, każdy z własną miarą i zakresem funkcji. Użyj aktualnej umowy zamiast mechanicznie tłumaczyć starą etykietę.

Funkcje i egzekwowana polityka

Wypisz możliwości, których wdrożenie naprawdę potrzebuje: dozwolone tryby tunelu, ocena urządzeń, integracja uwierzytelniania i każdy inny moduł. Sprawdzaj wsparcie i uprawnienie dla każdej osobno, bo funkcja może być obsługiwana i bez licencji albo licencjonowana i nieobsługiwana w wybranym wydaniu. Liczy się tylko wiersz, który na oba pytania odpowiada tak.

Gdy celem jest ASA, kolumnę funkcji czyta się z urządzenia, a nie z umowy, więc przechwyć bramę przed dniem przełączenia. show vpn-sessiondb summary daje inwentarz aktywnych sesji i liczby, względem których mierzy się twoje uprawnienie, show vpn-sessiondb detail anyconnect pokazuje, jakiego typu klienta i profilu faktycznie użyła każda przypisana sesja, a show running-config webvpn przechwytuje konfigurację bramy, od której te sesje zależą, i to jest jedyna część zapisu, której nie może zawierać żaden dokument licencyjny.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Po przełączeniu uruchom te same trzy na nowej bramie i porównaj je z przechwyconymi kopiami. Zmiana liczby sesji jest oczekiwana; typ klienta albo blok webvpn, który pojawia się po jednej stronie, a nie po drugiej, jest ustaleniem, i należy do zapisu z wyjaśnieniem, a nie do komentarza w zgłoszeniu. Zachowaj zarówno surowe przechwycenia, jak i różnice, bo następny recenzent zechce zobaczyć, co porównano. U innego dostawcy odpowiednikiem jest własna tabela sesji i eksport profili tej platformy, w formacie, który się nie zgodzi, więc porównuj pytania jej stawiane, a nie tekst.

Następnie przypisz użytkowników i urządzenia do reguł celu, uprawnień do zasobów i zachowania przy odrzuceniu. Licencja, która umożliwia funkcję, nie jest konfiguracją, która ją wykonuje, i właśnie w luce między tym dwojgiem mieszka większość niespodzianek migracji.

Opisz przypadki odrzucenia z taką samą starannością jak przypadki dozwolone. Plan, który dowodzi tylko, że administrator może się połączyć, sprawdził najłatwiejszą ścieżkę i żadnej z granic.

Akceptuj po obu stronach decyzji

Przed przełączeniem uruchom zatwierdzony plan akceptacji na docelowych typach klientów, metodach uwierzytelniania i zasobach. Uwzględnij urządzenie lub tożsamość, która musi zostać odrzucona, i potwierdź, która reguła ją wybrała i do czego może dotrzeć wynikowa sesja. Uzgodnij przypadki odmowy, zanim otworzy się okno zmian, aby nikt nie mógł ich po cichu pominąć pod presją czasu. Plan bez przypadku odmowy sprawdził szczęśliwą ścieżkę i nic więcej.

Utrzymuj ścieżkę wycofania i trasę zarządzania, która nie zależy od tego, co jest migrowane. Bezpiecznie przechowuj konfigurację i zapisy tożsamości, a przestarzałe ustawienia kryptograficzne zostaw za sobą, zamiast przenosić je dalej. Nigdy nie wklejaj identyfikatorów licencji ani zapisów użytkowników do publicznych notatek.

Poproś właściciela o podpisanie uprawnienia i mapowania polityki razem. Gotowy zapis odpowiada na dwa pytania naraz: co organizacja ma prawo wdrożyć i które reguły faktycznie wpuszczają i ograniczają jej użytkowników.