SSL VPN vechi pe IOS: pachet, profil, gateway și sesiune

Găsești un instalator de client în flash-ul routerului și tragi concluzia că SSL VPN este configurat. Acesta este o singură componentă din patru, iar celelalte trei decid dacă cineva se poate conecta. În SSL VPN-ul vechi pe IOS piesele sunt obiecte distincte: pachetul de client de pe capătul central, un profil de client opțional, gateway-ul WebVPN care termină TLS și contextul împreună cu politica de grup care țin autentificarea și setările de sesiune. Dacă ratezi una, defecțiunea arată la fel din exterior.

Exemplul de configurare SSL VPN pentru IOS de la Cisco, construit pe IOS 15.3 cu AnyConnect 3.1, este util exact pentru că ține acele obiecte separate. Citește-l ca pe o descriere a acelei implementări mai vechi, nu ca pe o recomandare de a implementa acele versiuni.

Primul, pachetul: ce este și ce nu este

Pachetul de pe capătul central furnizează software de client pentru o singură platformă. Nu este nici profilul, nici listenerul, iar un fișier care stă în flash dovedește doar că cineva a încărcat ceva. Nu dovedește că o sesiune l-a folosit vreodată, că platforma corespunde dispozitivului utilizatorului sau că gateway-ul îl referențiază.

Confirmă numele exact al fișierului, platforma căreia i se adresează și locul în care configurația indică spre el. Un pachet Windows nu-ți spune nimic despre telefoane, iar un fișier încărcat pe care nu-l menționează niciun obiect al gateway-ului este stocare, nu configurație. Un pachet care corespunde platformei dar nu este niciodată asociat serviciului nu va fi oferit niciunui utilizator. Nici unul al cărui nume de fișier diferă de valoarea așteptată de configurație.

Al doilea, profilul: setări, nu software

Un profil de client opțional conține setări pe care un administrator le pregătește separat, cum ar fi liste de servere sau preferințe ale clientului. Confundarea lui cu un instalator este obișnuită pentru că ambele sosesc ca fișiere cu nume similare. Dacă implementarea așteaptă un profil, absența lui schimbă ce face clientul după conectare, nu dacă se conectează.

Inventariază ambele artefacte și notează la care dintre ele se referă de fapt gateway-ul. Acea singură linie previne o categorie de tichete în care două persoane discută fișiere diferite.

Al treilea, listenerul și identitatea TLS

Obiectul gateway definește adresa și portul pe care le atinge lumea exterioară și certificatul prezentat în timpul handshake-ului. Un browser care ajunge la pagina portalului, un client care finalizează autentificarea și o aplicație care ajunge la un server privat sunt trei observații separate, iar doar prima este un test de listener. Când handshake-ul eșuează, nimic din aval nu contează încă, așa că verifică lanțul de certificate și numele înainte de a edita vreo politică.

Notează undeva identitatea așteptată. Un certificat reînnoit sau înlocuit este cel mai frecvent motiv pentru care o implementare care funcționa luna trecută se oprește luna aceasta.

Al patrulea, contextul și politica împreună cu șablonul virtual

Contextul și politica de grup leagă autentificarea de comportamentul sesiunii: pool de adrese, rute separate, DNS și ce rețele interne poate atinge un utilizator. Exemplul documentat își atașează contextul la un șablon virtual care furnizează comportamentul interfeței pentru fiecare sesiune, iar acele obiecte de pe partea de server există independent de orice descarcă un utilizator.

Când un utilizator se autentifică dar nu atinge nimic, defectul stă de obicei aici, nu în client. Compară pool-ul, rutele transmise clientului și ACL-ul care permite traficul mai departe, și verifică-le față de ce raportează utilizatorul, nu față de ce intenționa proiectarea.

Verifică în ordine și oprește-te la prima defecțiune

Parcurge cele patru componente în ordinea în care o conexiune le întâlnește: listener, autentificare, politică, apoi comportamentul clientului. Confirmă TLS cu identitatea așteptată, autentifică un cont știut ca bun, citește adresa și rutele atribuite din sesiune și abia apoi compară platforma clientului cu pachetul. Oprirea la prima defecțiune păstrează o singură variabilă în joc, iar asta este diferența dintre o reparație și o presupunere.

Pentru un telefon sau orice client din afara acelui exemplu istoric de desktop, obține contractul real de client și gateway acceptat în loc să presupui că fluxul Windows se generalizează. Schimbarea unui protocol cerut nu va transforma un profil IKEv2 în acest serviciu SSL VPN, iar instalarea unui pachet de desktop nu demonstrează nimic despre suportul mobil.