Zastarjeli IOS SSL VPN: paket, profil, pristupnik, sesija

Pronađete instalater klijenta na flashu usmjerivača i zaključite da je SSL VPN konfiguriran. To je samo jedna od četiri komponente, a preostale tri odlučuju može li se bilo ko povezati. Na zastarjelom IOS SSL VPN dijelovi su odvojeni objekti: paket klijenta na glavnom čvoru, neobavezni profil klijenta, pristupnik WebVPN koji završava TLS te kontekst i grupna politika koji drže postavke autentikacije i sesije. Propustite jedan i kvar izvana izgleda isto.

Primjer konfiguracije Cisco IOS SSL VPN, izgrađen na IOS 15.3 s AnyConnect 3.1, koristan je upravo zato što te objekte drži odvojeno. Čitajte ga kao opis te starije implementacije, a ne kao preporuku za uvođenje tih verzija.

Prvo, paket: što jest i što nije

Paket na glavnom čvoru isporučuje klijentski softver za jednu platformu. Nije ni profil ni slušatelj, a datoteka koja samo leži na flashu dokazuje tek da je netko nešto prenio. Ne dokazuje da ju je sesija ikada koristila, da se platforma podudara s korisnikovim uređajem ili da se pristupnik uopće poziva na nju.

Provjerite točan naziv datoteke, platformu kojoj je namijenjena i mjesto na koje konfiguracija pokazuje. Paket za Windows ne govori ništa o telefonima, a prenesena datoteka koju ne spominje nijedan objekt pristupnika jest pohrana, a ne konfiguracija. Paket koji odgovara platformi, ali nikada nije povezan sa servisom, neće biti ponuđen nijednom korisniku. Kao ni onaj čiji se naziv datoteke razlikuje od vrijednosti koju konfiguracija očekuje.

Drugo, profil: postavke, a ne softver

Neobavezni profil klijenta nosi postavke koje administrator priprema odvojeno, poput popisa poslužitelja ili klijentskih preferencija. Miješati ga s instalaterom uobičajeno je jer oboje dolazi kao datoteke sličnih naziva. Ako uvođenje očekuje profil, njegovo odsustvo mijenja što klijent radi nakon povezivanja, a ne to povezuje li se uopće.

Popišite oba artefakta i zabilježite na koji se pristupnik doista poziva. Taj jedan redak sprječava čitavu klasu zahtjeva podršci u kojima dvoje ljudi govori o različitim datotekama.

Treće, slušatelj i identitet TLS

Objekt pristupnika definira adresu i port do kojih dolazi vanjski svijet te certifikat predstavljen tijekom rukovanja. Preglednik koji dođe do stranice portala, klijent koji dovrši autentikaciju i aplikacija koja dođe do privatnog poslužitelja tri su odvojena promatranja, i samo je prvo test slušatelja. Kad rukovanje ne uspije, ništa dalje još nije važno, pa provjerite lanac certifikata i naziv prije nego što izmijenite bilo koju politiku.

Zapišite očekivani identitet negdje. Obnovljeni ili zamijenjeni certifikat najčešći je razlog zašto uvođenje koje je radilo prošli mjesec prestane raditi ovaj.

Četvrto, kontekst i politika sa svojim virtualnim predloškom

Kontekst i grupna politika vežu autentikaciju uz ponašanje sesije: skup adresa, razdvojene rute, DNS i to kojim unutarnjim mrežama korisnik može doći. Dokumentirani primjer pripaja svoj kontekst virtualnom predlošku koji pruža ponašanje sučelja po sesiji, a ti objekti na strani poslužitelja postoje neovisno o bilo čemu što korisnik preuzme.

Kad se korisnik autentificira, ali ništa ne dosegne, kvar obično leži ovdje, a ne u klijentu. Usporedite skup, rute dodijeljene klijentu i ACL koji dopušta daljnji promet, te ih provjerite prema onome što korisnik prijavljuje, a ne prema onome što je dizajn namjeravao.

Provjeravajte redom i zaustavite se na prvom neuspjehu

Prođite četiri komponente redom kojim ih veza susreće: slušatelj, autentikacija, politika, zatim ponašanje klijenta. Potvrdite TLS s očekivanim identitetom, autentificirajte poznat dobar račun, pročitajte dodijeljenu adresu i rute iz sesije i tek onda usporedite platformu klijenta s paketom. Zaustavljanje na prvom neuspjehu drži jednu varijablu u igri, i to je razlika između popravka i nagađanja.

Za telefon ili bilo kojeg klijenta izvan tog povijesnog primjera s radnom površinom pribavite pravi podržani ugovor klijenta i pristupnika umjesto da pretpostavite da se Windows tijek uopćuje. Promjena zatraženog protokola neće pretvoriti profil IKEv2 u ovu uslugu SSL VPN, a instalacija paketa za radnu površinu ne dokazuje ništa o podršci za mobilne uređaje.