Starší IOS SSL VPN: balík, profil, brána, relácia

Nájdete inštalátor klienta vo flash pamäti routera a usúdite, že SSL VPN je nakonfigurovaná. To je len jeden zo štyroch komponentov a zvyšné tri rozhodujú, či sa niekto vôbec pripojí. V staršom IOS SSL VPN sú časti samostatné objekty: klientsky balík na hlavovom uzle, voliteľný profil klienta, brána WebVPN, ktorá ukončuje TLS, a kontext spolu so skupinovou politikou, ktoré držia nastavenia autentifikácie a relácie. Ak jednu vynecháte, chyba zvonku vyzerá rovnako.

Príklad konfigurácie Cisco IOS SSL VPN postavený na IOS 15.3 s AnyConnect 3.1 je užitočný práve preto, že tieto objekty drží oddelene. Čítajte ho ako opis tej staršej implementácie, nie ako odporúčanie nasadzovať tie verzie.

Po prvé, balík: čo je a čo nie je

Balík na hlavovom uzle dodáva klientsky softvér pre jednu platformu. Nie je ani profilom, ani prijímačom, a súbor ležiaci vo flash pamäti dokazuje len to, že niekto niečo nahral. Nedokazuje, že ho niekedy použila relácia, že platforma zodpovedá zariadeniu používateľa, alebo že naň brána vôbec odkazuje.

Overte presný názov súboru, platformu, pre ktorú je určený, a miesto, na ktoré konfigurácia odkazuje. Balík pre Windows nehovorí nič o telefónoch a nahratý súbor, ktorý nespomína žiadny objekt brány, je úložisko, nie konfigurácia. Balík, ktorý zodpovedá platforme, ale nikdy nie je spojený so službou, sa žiadnemu používateľovi neponúkne. Rovnako ten, ktorého názov súboru sa líši od hodnoty, ktorú konfigurácia očakáva.

Po druhé, profil: nastavenia, nie softvér

Voliteľný profil klienta nesie nastavenia, ktoré administrátor pripravuje samostatne, napríklad zoznamy serverov alebo preferencie klienta. Zamieňať ho s inštalátorom je bežné, pretože oba prichádzajú ako súbory s podobnými názvami. Ak nasadenie očakáva profil, jeho absencia mení to, čo klient robí po pripojení, nie to, či sa pripojí.

Zinventarizujte oba artefakty a zapíšte, na ktorý z nich brána skutočne odkazuje. Ten jediný riadok zabráni celej triede podporných tiketov, v ktorých dvaja ľudia hovoria o rôznych súboroch.

Po tretie, prijímač a identita TLS

Objekt brány určuje adresu a port, na ktoré sa dostane vonkajší svet, a certifikát predkladaný počas výmeny kľúčov. Prehliadač, ktorý sa dostane na stránku portálu, klient, ktorý dokončí autentifikáciu, a aplikácia, ktorá sa dostane na súkromný server, sú tri oddelené pozorovania a iba prvé je testom prijímača. Keď výmena kľúčov zlyhá, nič ďalej ešte nie je dôležité, preto pred úpravou akejkoľvek politiky overte reťaz certifikátov a názov.

Zapíšte očakávanú identitu niekam. Obnovený alebo vymenený certifikát je najčastejším dôvodom, prečo nasadenie, ktoré fungovalo minulý mesiac, prestane fungovať tento.

Po štvrté, kontext a politika s jej virtuálnou šablónou

Kontext a skupinová politika spájajú autentifikáciu so správaním relácie: fond adries, rozdelené trasy, DNS a to, ku ktorým vnútorným sieťam sa používateľ dostane. Zdokumentovaný príklad pripája svoj kontext k virtuálnej šablóne, ktorá poskytuje správanie rozhrania pre každú reláciu, a tieto objekty na strane servera existujú nezávisle od čohokoľvek, čo používateľ stiahne.

Keď sa používateľ autentifikuje, ale na nič sa nedostane, chyba zvyčajne sedí tu, nie v klientovi. Porovnajte fond, trasy odovzdané klientovi a ACL povoľujúci ďalšiu prevádzku, a overte ich podľa toho, čo hlási používateľ, nie podľa toho, čo zamýšľal návrh.

Overujte v poradí a zastavte pri prvej chybe

Prejdite štyri komponenty v poradí, v akom sa s nimi spojenie stretáva: prijímač, autentifikácia, politika, potom správanie klienta. Potvrďte TLS s očakávanou identitou, autentifikujte známy dobrý účet, prečítajte pridelenú adresu a trasy z relácie a až potom porovnajte platformu klienta s balíkom. Zastavenie pri prvej chybe udrží v hre jedinú premennú, a to je rozdiel medzi opravou a hádaním.

Pre telefón alebo akéhokoľvek klienta mimo tohto historického príkladu s počítačom si zadovážte skutočnú podporovanú zmluvu klienta a brány, namiesto toho, aby ste predpokladali, že sa postup pre Windows zovšeobecní. Zmena požadovaného protokolu nezmení profil IKEv2 na túto službu SSL VPN a inštalácia balíka pre počítač nič nedokazuje o podpore mobilných zariadení.