Star IOS SSL VPN: paket, profil, prehod, seja

V bliskavici usmerjevalnika najdete namestitveni program odjemalca in sklepate, da je SSL VPN konfiguriran. To je le ena od štirih komponent, preostale tri pa odločajo, ali se bo kdo sploh lahko povezal. Pri starem IOS SSL VPN so deli ločeni objekti: paket odjemalca na glavnem vozlišču, neobvezen profil odjemalca, prehod WebVPN, ki zaključi TLS, ter kontekst in skupinska politika, ki hranita nastavitve preverjanja pristnosti in seje. Če enega zgrešite, je napaka od zunaj videti enako.

Primer konfiguracije Cisco IOS SSL VPN, zgrajen na IOS 15.3 z AnyConnect 3.1, je uporaben prav zato, ker te objekte drži ločene. Berite ga kot opis tiste starejše izvedbe, ne kot priporočilo za uvajanje tistih različic.

Prvič, paket: kaj je in kaj ni

Paket na glavnem vozlišču zagotavlja programsko opremo odjemalca za eno platformo. Ni profil in ni poslušalec, datoteka, ki leži v bliskavici, pa dokazuje le, da je nekdo nekaj naložil. Ne dokazuje, da jo je seja kdaj uporabila, da se platforma ujema z uporabnikovo napravo ali da se prehod nanjo sploh sklicuje.

Preverite točno ime datoteke, platformo, ki ji je namenjena, in mesto, kamor konfiguracija kaže. Paket za Windows ne pove ničesar o telefonih, naložena datoteka, ki je ne omenja noben objekt prehoda, pa je shramba, ne konfiguracija. Paket, ki se ujema s platformo, a ni nikoli povezan s storitvijo, ne bo ponujen nobenemu uporabniku. Prav tako ne tisti z imenom datoteke, ki se razlikuje od vrednosti, ki jo konfiguracija pričakuje.

Drugič, profil: nastavitve, ne programska oprema

Neobvezen profil odjemalca nosi nastavitve, ki jih skrbnik pripravi ločeno, na primer sezname strežnikov ali nastavitve odjemalca. Zamenjati ga z namestitvenim programom je pogosto, ker oba prideta kot datoteki s podobnimi imeni. Če uvajanje pričakuje profil, njegova odsotnost spremeni, kaj odjemalec počne po povezavi, ne pa ali se poveže.

Popišite oba artefakta in zabeležite, na katerega se prehod dejansko sklicuje. Ta ena vrstica prepreči cel razred podpornih zahtevkov, v katerih dva človeka govorita o različnih datotekah.

Tretjič, poslušalec in identiteta TLS

Objekt prehoda določa naslov in vrata, ki jih doseže zunanji svet, ter potrdilo, predstavljeno med rokovanjem. Brskalnik, ki doseže stran portala, odjemalec, ki zaključi preverjanje pristnosti, in aplikacija, ki doseže zasebni strežnik, so tri ločena opažanja, in le prvo je preizkus poslušalca. Ko rokovanje spodleti, nič nadaljnje še ni pomembno, zato preverite verigo potrdil in ime, preden spremenite katero koli politiko.

Pričakovano identiteto zapišite nekam. Obnovljeno ali zamenjano potrdilo je najpogostejši razlog, da uvajanje, ki je delovalo prejšnji mesec, preneha delovati ta mesec.

Četrtič, kontekst in politika z njeno virtualno predlogo

Kontekst in skupinska politika vežeta preverjanje pristnosti na vedenje seje: nabor naslovov, razdeljene poti, DNS in to, do katerih notranjih omrežij uporabnik lahko pride. Dokumentirani primer pripne svoj kontekst na virtualno predlogo, ki zagotavlja vedenje vmesnika za vsako sejo, in ti objekti na strani strežnika obstajajo neodvisno od tega, kar uporabnik prenese.

Ko se uporabnik preveri, a ne doseže ničesar, je napaka običajno tukaj, ne v odjemalcu. Primerjajte nabor, poti, izročene odjemalcu, in ACL, ki dovoljuje nadaljnji promet, ter jih preverite glede na to, kar poroča uporabnik, ne glede na to, kar je zasnova nameravala.

Preverjajte po vrsti in se ustavite pri prvi napaki

Prehodite štiri komponente v vrstnem redu, v katerem jih povezava sreča: poslušalec, preverjanje pristnosti, politika, nato vedenje odjemalca. Potrdite TLS s pričakovano identiteto, preverite znan dober račun, preberite dodeljeni naslov in poti iz seje in šele nato primerjajte platformo odjemalca s paketom. Ustavitev pri prvi napaki obdrži v igri eno samo spremenljivko, in to je razlika med popravilom in ugibanjem.

Za telefon ali katerega koli odjemalca zunaj tistega zgodovinskega primera z namizjem pridobite resnično podprto pogodbo odjemalca in prehoda, namesto da predpostavljate, da se potek za Windows posploši. Sprememba zahtevanega protokola ne bo spremenila profila IKEv2 v to storitev SSL VPN, namestitev namiznega paketa pa ne dokazuje ničesar o podpori za mobilne naprave.