Устаревший IOS SSL VPN: пакет, профиль, шлюз, сессия

Вы находите установщик клиента во flash-памяти маршрутизатора и делаете вывод, что SSL VPN настроен. Это лишь один компонент из четырёх, а остальные три решают, сможет ли кто-нибудь подключиться. В устаревшем IOS SSL VPN части — это отдельные объекты: клиентский пакет головного узла, необязательный профиль клиента, шлюз WebVPN, завершающий TLS, и контекст вместе с групповой политикой, где хранятся параметры аутентификации и сессии. Пропустите одну — и снаружи сбой выглядит одинаково.

Пример конфигурации Cisco IOS SSL VPN, собранный на IOS 15.3 с AnyConnect 3.1, полезен именно потому, что держит эти объекты раздельно. Читайте его как описание той старой реализации, а не как рекомендацию разворачивать те версии.

Во-первых, пакет: что это и чем он не является

Пакет головного узла поставляет клиентское программное обеспечение для одной платформы. Он не является ни профилем, ни прослушивателем, а файл, просто лежащий во flash, доказывает лишь то, что кто-то что-то загрузил. Он не доказывает, что сессия когда-либо его использовала, что платформа соответствует устройству пользователя или что шлюз на него вообще ссылается.

Проверьте точное имя файла, платформу, для которой он предназначен, и то, куда конфигурация на него указывает. Пакет для Windows ничего не говорит о телефонах, а загруженный файл, который не упоминает ни один объект шлюза, — это хранилище, а не конфигурация. Пакет, соответствующий платформе, но никогда не связанный с сервисом, не будет предложен ни одному пользователю. Как и тот, чьё имя файла отличается от значения, которого ждёт конфигурация.

Во-вторых, профиль: настройки, а не программное обеспечение

Необязательный профиль клиента несёт настройки, которые администратор готовит отдельно, например списки серверов или предпочтения клиента. Путать его с установщиком принято, потому что оба приходят как файлы с похожими именами. Если развёртывание ждёт профиль, его отсутствие меняет то, что клиент делает после подключения, а не то, подключается ли он вообще.

Перечислите оба артефакта и зафиксируйте, на который из них шлюз действительно ссылается. Эта единственная строка предотвращает целый класс обращений в поддержку, где двое людей обсуждают разные файлы.

В-третьих, прослушиватель и идентичность TLS

Объект шлюза определяет адрес и порт, которых достигает внешний мир, и сертификат, предъявляемый при рукопожатии. Браузер, доходящий до страницы портала, клиент, завершающий аутентификацию, и приложение, доходящее до приватного сервера, — это три разных наблюдения, и только первое является проверкой прослушивателя. Когда рукопожатие не удаётся, всё дальнейшее пока не имеет значения, поэтому проверьте цепочку сертификатов и имя, прежде чем править любую политику.

Запишите ожидаемую идентичность куда-нибудь. Обновлённый или заменённый сертификат — самая частая причина, по которой развёртывание, работавшее в прошлом месяце, перестаёт работать в этом.

В-четвёртых, контекст и политика с её виртуальным шаблоном

Контекст и групповая политика связывают аутентификацию с поведением сессии: пул адресов, разделённые маршруты, DNS и то, какие внутренние сети пользователь может достичь. В документированном примере контекст привязан к виртуальному шаблону, который задаёт поведение интерфейса для каждой сессии, и эти серверные объекты существуют независимо от того, что скачивает пользователь.

Когда пользователь аутентифицируется, но ничего не достигает, неисправность обычно здесь, а не в клиенте. Сравните пул, маршруты, выданные клиенту, и ACL, разрешающий дальнейший трафик, и сверяйте их с тем, что сообщает пользователь, а не с тем, что задумал проект.

Проверяйте по порядку и останавливайтесь на первой ошибке

Пройдите четыре компонента в том порядке, в котором их встречает соединение: прослушиватель, аутентификация, политика, затем поведение клиента. Подтвердите TLS с ожидаемой идентичностью, аутентифицируйте заведомо исправную учётную запись, прочитайте выданные адрес и маршруты из сессии и только после этого сравните платформу клиента с пакетом. Остановка на первой ошибке удерживает в игре одну переменную, и это разница между ремонтом и догадкой.

Для телефона или любого клиента за пределами того исторического примера с настольным компьютером получите настоящий договор поддерживаемого клиента и шлюза, вместо того чтобы предполагать, что рабочий процесс Windows обобщается. Смена запрошенного протокола не превратит профиль IKEv2 в этот сервис SSL VPN, а установка настольного пакета ничего не доказывает о поддержке мобильных устройств.