Migrácia VPN: licencie, funkcie a politika v jednom zázname

Relácie, ktoré na starom koncentrátore stále fungujú, vyzerajú ako dôkaz, že migrácia je takmer hotová. Sú však len jednou položkou inventára, a to tou najmenej zaujímavou. Prepnutie potrebuje záznam, ktorý prepojí cieľovú bránu, podporovaného klienta, zakúpené oprávnenie a vynútenú politiku prijatia do jediného artefaktu, ktorý niekto vlastní. Bez neho je migrácia sledom predpokladov, z ktorých každý sám o sebe vyzerá rozumne.

Štyri stĺpce, nie jeden kontrolný zoznam

Čo hardvér unesie, čo dovoľuje zmluva a čo pripúšťa sada pravidiel, sú tri oddelené otázky a ich miešanie vytvára plán, ktorý nikto nevie auditovať. Držte ich v oddelených stĺpcoch a nechajte každý uviesť svoj zdroj. Zariadenie, ktoré prijme pripojenie, dokazuje, že sa zariadenie pripojiť vie, a nevysvetľuje nič o rozsahu funkcií ani o základe počítania. Tri stĺpce, ktoré si odporujú, sú oveľa užitočnejšie než jeden sebavedomo znejúci odsek.

Záznam je hotový, keď všetky štyri stĺpce vyplní niekto, kto na to má oprávnenie. Stĺpec podpísaný nesprávnym vlastníkom je fáma s dátumom.

Platforma a oprávnenie

Zaznamenajte podporovanú bránu, operačné systémy klienta, cestu overovania a nástroje správy. Neudržiavajte zastaraného klienta nažive len preto, že sa jeho starý profil ešte otvára, pretože taký profil je tvrdenie o kompatibilite, ktoré dodávateľ už nemusí dodržať. Porovnajte aktuálne vyhlásenie o podpore s vydaním, ktoré plánujete nasadiť.

Pri oprávnení zaznamenajte produkt, typ licencie, obdobie a základ počítania a potom ich zlaďte cez vlastníka účtu. Odvodzovanie práv z historického počítadla relácií je spôsob, akým organizácia objaví nedostatok po prepnutí, a nie pred ním.

Objednávacie príručky dodávateľov ukazujú, prečo na týchto rozdieloch záleží. Napríklad objednávacia príručka Secure Client od Cisco delí úrovne Advantage, Premier a VPN Only, každú s vlastnou mierou a rozsahom funkcií. Použite aktuálnu zmluvu, namiesto mechanického prekladu starého štítku.

Funkcie a vynútená politika

Vymenujte schopnosti, ktoré nasadenie naozaj potrebuje: povolené režimy tunela, posudzovanie zariadení, integráciu overovania a akýkoľvek ďalší modul. Podporu a oprávnenie overujte pri každej zvlášť, pretože funkcia môže byť podporovaná a nelicencovaná, alebo licencovaná a v zvolenom vydaní nepodporovaná. Počíta sa len riadok, ktorý na obe otázky odpovedá áno.

Keď je cieľom ASA, stĺpec funkcií sa číta zo samotného zariadenia a nie zo zmluvy, preto bránu zachyťte ešte pred dňom prepnutia. show vpn-sessiondb summary dáva inventár živých relácií a počty, proti ktorým sa meria vaše oprávnenie, show vpn-sessiondb detail anyconnect ukazuje, aký typ klienta a profil každá priradená relácia skutočne použila, a show running-config webvpn zachytáva konfiguráciu brány, na ktorej tieto relácie závisia, a to je jediná časť záznamu, ktorú žiadny licenčný dokument nemôže obsahovať.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Po prepnutí spustite tie isté tri na novej bráne a porovnajte ich so zachytenými kópiami. Zmena počtu relácií sa očakáva; typ klienta alebo blok webvpn, ktorý sa objaví na jednej strane a na druhej nie, je nález a patrí do záznamu s vysvetlením, nie do komentára k tiketu. Uložte surové snímky aj rozdiely, pretože ďalší recenzent bude chcieť vidieť, čo sa porovnávalo. U iného dodávateľa je ekvivalentom vlastná tabuľka relácií a export profilov danej platformy, vo formáte, ktorý nebude sedieť, takže porovnávajte otázky, ktoré jej kladiete, a nie text.

Potom namapujte používateľov a zariadenia na pravidlá cieľa, oprávnenia k prostriedkom a správanie pri odmietnutí. Licencia, ktorá funkciu umožňuje, nie je konfigurácia, ktorá ju vykonáva, a práve v medzere medzi tým oboma žije väčšina prekvapení migrácie.

Napíšte prípady odmietnutia s rovnakou starostlivosťou ako prípady povolené. Plán, ktorý dokazuje len to, že administrátor sa vie pripojiť, otestoval najľahšiu cestu a žiadnu z hraníc.

Prijmite na oboch stranách rozhodnutia

Pred prepnutím spustite schválený akceptačný plán naprieč zamýšľanými typmi klientov, metódami overovania a prostriedkami. Zahrňte zariadenie alebo identitu, ktorá musí byť odmietnutá, a potvrďte, ktoré pravidlo ju vybralo a kam výsledná relácia môže dosiahnuť. Dohodnite sa na prípadoch zamietnutia pred otvorením zmenového okna, aby ich nikto nemohol potichu vypustiť pod časovým tlakom. Plán bez jediného prípadu zamietnutia otestoval šťastnú cestu a nič iné.

Udržiavajte cestu späť a cestu správy, ktorá nezávisí od toho, čo migrujete. Bezpečne uchovávajte konfiguráciu a záznamy identít a zastarané kryptografické nastavenia nechajte za sebou, namiesto toho, aby ste ich prenášali ďalej. Nikdy nevkladajte identifikátory licencií ani používateľské záznamy do verejných poznámok.

Nechajte vlastníka podpísať oprávnenie a mapovanie politiky spoločne. Hotový záznam odpovedá na dve otázky naraz: čo je organizácia oprávnená nasadiť a ktoré pravidlá jej používateľov skutočne prijímajú a obmedzujú.