Selitev VPN: licence, funkcije in politika v enem zapisu

Seje, ki še vedno delujejo na starem koncentratorju, izgledajo kot dokaz, da je selitev skoraj končana. So pa le ena postavka v inventarju, in to najmanj zanimiva. Prehod potrebuje zapis, ki ciljni prehod, podprtega odjemalca, kupljeno pravico in uveljavljeno politiko sprejema poveže v en sam artefakt, ki ga nekdo ima v lasti. Brez njega je selitev vrsta predpostavk, ki vsaka zase izgleda razumno.

Štirje stolpci, ne en kontrolni seznam

Kaj prenese strojna oprema, kaj dovoljuje pogodba in kaj dopušča nabor pravil, so tri ločena vprašanja, in njihovo mešanje ustvari načrt, ki ga nihče ne more revidirati. Držite jih v ločenih stolpcih in zahtevajte, da vsak navede svoj vir. Naprava, ki sprejme povezavo, dokazuje, da se naprava lahko poveže, in ne pojasni ničesar o obsegu funkcij ali osnovi štetja. Trije stolpci, ki si nasprotujejo, so veliko bolj uporabni kot en samozavestno zveneč odstavek.

Zapis je končan, ko vse štiri stolpce izpolni nekdo, ki je do tega upravičen. Stolpec, ki ga podpiše napačni lastnik, je govorica z datumom.

Platforma in pravica

Zapišite podprt prehod, operacijske sisteme odjemalca, pot overjanja in orodja za upravljanje. Ne ohranjajte zastarelega odjemalca pri življenju samo zato, ker se njegov stari profil še odpira, saj je ta profil trditev o združljivosti, ki je dobavitelj morda ne bo več izpolnil. Primerjajte trenutno izjavo o podpori z izdajo, ki jo nameravate uvesti.

Za pravico zapišite izdelek, vrsto licence, obdobje in osnovo štetja, nato pa jo uskladite prek lastnika računa. Izpeljevanje pravic iz zgodovinskega števca sej je način, kako organizacija odkrije primanjkljaj po prehodu in ne pred njim.

Naročniški priročniki dobaviteljev kažejo, zakaj so te razlike pomembne. Na primer, naročniški priročnik Secure Client podjetja Cisco loči ravni Advantage, Premier in VPN Only, vsako z lastno mero in obsegom funkcij. Uporabite trenutno pogodbo, namesto da staro oznako prevajate mehansko.

Funkcije in uveljavljena politika

Naštejte zmogljivosti, ki jih uvedba resnično potrebuje: dovoljeni načini tunela, ocenjevanje naprav, integracija overjanja in kateri koli drug modul. Podporo in pravico preverite za vsako posebej, saj je lahko funkcija podprta in brez licence ali licencirana in v izbrani izdaji nepodprta. Šteje se le vrstica, ki na obe vprašanji odgovori z da.

Ko je cilj ASA, se stolpec funkcij bere z naprave in ne iz pogodbe, zato prehod zajemite pred dnem prehoda. show vpn-sessiondb summary da inventar aktivnih sej in števila, s katerimi se meri vaša pravica, show vpn-sessiondb detail anyconnect pokaže, katero vrsto odjemalca in profil je vsaka dodeljena seja dejansko uporabila, show running-config webvpn pa zajame konfiguracijo prehoda, od katere so te seje odvisne, in to je edini del zapisa, ki ga noben licenčni dokument ne more vsebovati.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Po prehodu zaženite iste tri na novem prehodu in jih primerjajte z zajetimi kopijami. Spreminjanje števila sej je pričakovano; vrsta odjemalca ali blok webvpn, ki se pojavi na eni strani in ne na drugi, je ugotovitev, in sodi v zapis z razlago, ne v komentar na zahtevek. Shranite surove posnetke in razlike, ker bo naslednji pregledovalec želel videti, kaj je bilo primerjano. Pri drugem dobavitelju je ustreznik lastna tabela sej in izvoz profilov te platforme, v obliki, ki se ne bo ujemala, zato primerjajte vprašanja, ki jih postavljate njej, in ne besedila.

Nato preslikajte uporabnike in naprave v pravila cilja, dovoljenja za vire in vedenje ob zavrnitvi. Licenca, ki funkcijo omogoča, ni konfiguracija, ki jo izvaja, in prav v vrzeli med obema živi večina presenečenj selitve.

Primere zavrnitve zapišite z enako skrbnostjo kot dovoljene primere. Načrt, ki dokazuje samo, da se skrbnik lahko poveže, je preizkusil najlažjo pot in nobene meje.

Sprejmite na obeh straneh odločitve

Pred prehodom izvedite odobren načrt sprejema na predvidenih vrstah odjemalcev, metodah overjanja in virih. Vključite napravo ali identiteto, ki mora biti zavrnjena, in potrdite, katero pravilo jo je izbralo in kam lahko sega nastala seja. Dogovorite se o primerih zavrnitve, preden se odpre okno sprememb, da jih nihče ne more tiho izpustiti pod časovnim pritiskom. Načrt brez primera zavrnitve je preizkusil srečno pot in nič drugega.

Ohranjajte pot vrnitve in pot upravljanja, ki ni odvisna od tega, kar selite. Varno hranite konfiguracijo in evidence identitet, zastarele kriptografske nastavitve pa pustite za seboj, namesto da jih nosite naprej. Nikoli ne lepite identifikatorjev licenc ali uporabniških evidenc v javne zapiske.

Naj lastnik podpiše pravico in preslikavo politike skupaj. Končni zapis odgovori na dve vprašanji hkrati: kaj je organizacija upravičena uvesti in katera pravila njene uporabnike v resnici sprejmejo in omejijo.