Refuzimi i gjeolokacionit në Firebox: gjeni së pari fazën e hyrjes VPN

Dikush në një vend tjetër nuk mund të lidhet, dhe instinkti i parë është të shikohet rregulli që jep akses te burimet e brendshme. Ai rregull ekzekutohet pas pranimit, prandaj nuk mund të jetë ai që e refuzon tunelin. Faza që bllokon është diku në rrugën e hyrjes, dhe Firebox ka më shumë se një rrugë hyrjeje në varësi të shërbimit VPN. Kryeni kontrollet me radhë dhe ndaloni sapo njëra prej tyre të shpjegojë refuzimin.

Kontrolli 1: emërtoni shërbimin hyrës

Për Mobile VPN me SSL, Access Portal dhe BOVPN mbi TLS, hyrja hyrëse është politika WatchGuard SSLVPN. Zbatoni kufizimin e synuar atje, në shërbimin e konfiguruar në të vërtetë, në vend që ta nxirrni nga një rregull i aksesit të përdoruesit që ekzekutohet më vonë.

IPsec ndjek një rrugë tjetër. Politika IPSec e integruar lejon trafikun IPsec të jashtëm drejt Firebox për shërbimet e degës dhe VPN-së mobile që zbatohen, dhe ka përparësi ndaj një politike IPSec të krijuar manualisht. Nëse klienti juaj është IKEv2, ju jeni në atë rrugë të dytë, dhe politika SSLVPN është e parëndësishme.

Gabimi këtu është pasdite më e shpeshtë e humbur në këtë fushë: të redaktosh një politikë që nuk e sheh kurrë paketën, e më pas të konkludosh se kufizimi nuk funksionon.

Kontrolli 2: lexoni refuzimin, jo teorinë

Bëni një provë të vetme të lejuar dhe të kontrolluar dhe lidhni katër gjëra: adresën publike të burimit të klientit, shërbimin hyrës që arriti, politikën që përputhej dhe çdo arsye refuzimi në regjistër. Udhëzuesi i WatchGuard për zgjidhjen e problemeve IKEv2 vëren se gjeolokacioni dhe trajtimi standard i paketave mund ta refuzojnë trafikun përpara pranimit nga politika e integruar, që do të thotë se refuzimi që shihni mund të përmendë një fazë që nuk e keni marrë parasysh.

Klasifikimi i vendit ndjek burimin e rrjetit të vëzhguar. Një përdorues në roaming, një NAT më lart ose një rrugë tjetër e miratuar mund të ndryshojnë atë që sheh Firebox, prandaj konfirmoni adresën dhe jo përshkrimin e përdoruesit se ku ndodhet. Kërkoni adresën publike që sheh klienti dhe krahasojeni me burimin në regjistrin e Firebox. Kur ndryshojnë, klasifikimi ndjek një rrugë që askush nuk e përmendi.

Kontrolli 3: a është politika e integruar ende pronari?

Nëse një politikë IPSec manuale duket e injoruar, kontrolloni nëse ajo e integruar është ende e aktivizuar. Një rregull manual i mbuluar nga një rregull i integruar me përparësi më të lartë dhe një rregull manual që është pranimi i vetëm janë konfigurime të ndryshme me një ndërfaqe me pamje të njëjtë.

Vendosni cila duhet ta zotërojë rrugën. Nëse është politika manuale, ajo e integruar duhet të çaktivizohet për atë trafik, dhe aty fillon kontrolli i radhës.

Kontrolli 4: planifikoni zëvendësimin përpara çaktivizimit

Çaktivizimi i politikës IPSec të integruar heq pranimin e saj për shërbimet VPN të prekura. Kjo përfshin tunelet e degëve për të cilat mund të mos mendoni ndërsa rregulloni lidhjen e një përdoruesi mobile.

Fillimisht planifikoni zëvendësimin e plotë: cilat shërbime kanë nevojë për pranim, cilat intervale burimi marrin dhe si do ta menaxhoni pajisjen nëse ndryshimi shkon keq. Mbani të hapur një rrugë të pavarur menaxhimi dhe rikuperimi, sepse një gabim këtu mund të heqë tunelin që do të përdornit për ta rregulluar. Shënoni hapat e rikuperimit në regjistrin e ndryshimeve, duke përfshirë si të arrini pajisjen nëse rruga VPN ka humbur. Më pas testoni rinovimin, jo vetëm lidhjen e parë.

Lidhshmëria aktive dhe rinegocimi i mëvonshëm mund të varen të dy nga pranimi. Një ndryshim që funksionon për sesionin që testuat dhe dështon në ndryshimin e ardhshëm të çelësit është rezultat klasik i zëvendësimit të pranimit pa testuar rinovimin.

Kontrolli 5: mbani identitetin të ndarë nga vendndodhja

Gjeolokacioni i shton kontekst një vendimi hyrjeje. Ai nuk përcakton kush është përdoruesi dhe nuk duhet të zëvendësojë kontrollet e identitetit të portës, autorizimin e llogarisë ose MFA.

Nëse kërkesa e biznesit është vetëm përdorues të miratuar nga vende të miratuara, ju nevojiten të dy kontrollet. Një rregull vendndodhjeje që pranon një vend të tërë nuk zëvendëson vërtetimin, dhe një përdorues i vërtetuar në një vend të bllokuar është çështje politike, jo defekt.

Kontrolli 6: regjistroni dhe verifikoni të dyja rrugët

Shënoni shërbimin, politikën e hyrjes, intervalin e synuar të vendndodhjes, përjashtimet dhe përgjegjësin e rikuperimit. Më pas testoni rrugën mobile dhe të paktën një rrugë siti pas ndryshimit, që kufizimi të mbetet i lidhur me shërbimin për të cilin është projektuar.

Së fundi, rilexoni refuzimin me të cilin filluat. Nëse ka kaluar nga një refuzim vendndodhjeje në një dështim vërtetimi ose autorizimi, problemi i hyrjes është zgjidhur dhe tani shihet një tjetër. Udhëzuesi i WatchGuard për refuzimet IKEv2 është referenca për renditjen e fazave të përshkruar më sipër.