Odmietnutie geolokácie vo Fireboxe: najprv nájdite fázu vstupu VPN

Niekto v inej krajine sa nevie pripojiť a prvým inštinktom je pozrieť sa na pravidlo, ktoré udeľuje prístup k interným zdrojom. To pravidlo beží až po prijatí, takže nemôže byť tým, čo tunel odmieta. Blokujúca fáza je niekde na vstupnej ceste a Firebox má viac než jednu vstupnú cestu podľa služby VPN. Vykonajte kontroly v poradí a zastavte sa hneď, ako jedna z nich odmietnutie vysvetlí.

Kontrola 1: pomenujte prichádzajúcu službu

Pri Mobile VPN so SSL, Access Portal a BOVPN cez TLS je prichádzajúcim vstupom pravidlo WatchGuard SSLVPN. Použite zamýšľané obmedzenie tam, na skutočne nakonfigurovanej službe, namiesto toho, aby ste ho odvodzovali z pravidla prístupu používateľa, ktoré beží neskôr.

IPsec ide inou cestou. Vstavané pravidlo IPSec povoľuje vonkajšiu prevádzku IPsec do Fireboxu pre príslušné pobočkové a mobilné VPN služby a má prednosť pred ručne vytvoreným pravidlom IPSec. Ak je váš klient IKEv2, ste na tej druhej ceste a pravidlo SSLVPN nie je podstatné.

Chyba tu je najčastejšie premrhané popoludnie v tejto oblasti: upravovať pravidlo, ktoré paket nikdy nevidí, a potom usúdiť, že obmedzenie nefunguje.

Kontrola 2: čítajte odmietnutie, nie teóriu

Urobte jeden kontrolovaný povolený pokus a spojte štyri veci: verejnú zdrojovú adresu klienta, vstupnú službu, ktorú zasiahol, pravidlo, ktoré sa zhodovalo, a akýkoľvek dôvod odmietnutia v logu. Príručka WatchGuard na riešenie problémov s IKEv2 uvádza, že geolokácia a predvolené spracovanie paketov môžu odmietnuť prevádzku ešte pred prijatím vstavaným pravidlom, čo znamená, že odmietnutie, ktoré vidíte, môže uvádzať fázu, ktorú ste nezvážili.

Klasifikácia krajiny sleduje pozorovaný sieťový zdroj. Cestujúci používateľ, vyšší NAT alebo iná schválená cesta môžu zmeniť to, čo Firebox vidí, preto potvrďte adresu, nie opis používateľa, kde sa nachádza. Vyžiadajte si verejnú adresu, ktorú klient vidí, a porovnajte ju so zdrojom v logu Fireboxu. Keď sa líšia, klasifikácia sleduje cestu, ktorú nikto nespomenul.

Kontrola 3: je vstavané pravidlo stále vlastníkom?

Ak sa zdá, že ručné pravidlo IPSec sa ignoruje, skontrolujte, či je vstavané stále zapnuté. Ručné pravidlo zatienené vstavaným pravidlom s vyššou prioritou a ručné pravidlo, ktoré je jediným prijatím, sú rôzne konfigurácie s podobne vyzerajúcim rozhraním.

Rozhodnite, ktoré má cestu vlastniť. Ak je to ručné pravidlo, vstavané sa pre túto prevádzku musí vypnúť, a tam začína ďalšia kontrola.

Kontrola 4: naplánujte náhradu pred vypnutím

Vypnutie vstavaného pravidla IPSec odstráni jeho prijatie pre dotknuté služby VPN. Zahŕňa to pobočkové tunely, na ktoré možno nemyslíte, keď opravujete pripojenie jedného mobilného používateľa.

Najprv naplánujte úplnú náhradu: ktoré služby potrebujú prijatie, aké rozsahy zdrojov dostanú a ako budete zariadenie spravovať, ak sa zmena pokazí. Udržujte otvorenú nezávislú cestu správy a obnovy, pretože chyba tu môže odstrániť tunel, ktorý by ste použili na jej opravu. Zapíšte kroky obnovy do záznamu o zmene, vrátane toho, ako sa dostanete k zariadeniu, ak cesta VPN zmizla. Potom otestujte obnovenie, nielen prvé pripojenie.

Aktívne pripojenie aj neskoršie opätovné vyjednávanie môžu závisieť od prijatia. Zmena, ktorá funguje pre testovanú reláciu a zlyhá pri ďalšej výmene kľúčov, je klasickým výsledkom nahradenia prijatia bez otestovania obnovenia.

Kontrola 5: držte identitu oddelene od polohy

Geolokácia pridáva kontext k vstupnému rozhodnutiu. Neurčuje, kto je používateľ, a nemala by nahradiť kontroly identity brány, autorizáciu účtu ani MFA.

Ak je obchodná požiadavka iba schválení používatelia zo schválených miest, potrebujete obe kontroly. Pravidlo polohy, ktoré prijíma celú krajinu, nie je náhradou autentifikácie a autentifikovaný používateľ v blokovanej krajine je otázka politiky, nie chyba.

Kontrola 6: zapíšte to a overte obe cesty

Zapíšte službu, vstupné pravidlo, zamýšľaný rozsah polohy, výnimky a vlastníka obnovy. Potom po zmene otestujte mobilnú cestu a aspoň jednu cestu na lokalitu, aby obmedzenie zostalo pripojené k službe, pre ktorú bolo určené.

Nakoniec si znova prečítajte odmietnutie, s ktorým ste začali. Ak sa zmenilo z odmietnutia podľa polohy na zlyhanie autentifikácie alebo autorizácie, vstupný problém je vyriešený a teraz je vidieť iný. Príručka WatchGuard k odmietnutiam IKEv2 je referenciou pre vyššie opísané poradie fáz.