SSL VPN i vjetër në IOS: paketa, profili, porta, sesioni

Gjeni një instalues klienti në flash-in e ruterit dhe nxirrni përfundimin se SSL VPN është konfiguruar. Ky është vetëm një komponent nga katër, dhe tre të tjerët vendosin nëse dikush mund të lidhet fare. Në SSL VPN-in e vjetër të IOS pjesët janë objekte të veçanta: paketa e klientit në krye të rrjetit, një profil klienti opsional, porta WebVPN që përfundon TLS, dhe konteksti bashkë me politikën e grupit që mbajnë autentikimin dhe cilësimet e sesionit. Nëse ju mungon njëra, defekti duket i njëjtë nga jashtë.

Shembulli i konfigurimit të Cisco IOS SSL VPN, i ndërtuar mbi IOS 15.3 me AnyConnect 3.1, është i dobishëm pikërisht sepse i mban ato objekte të ndara. Lexojeni si përshkrim të asaj implementimi më të vjetër, jo si rekomandim për të vendosur ato versione.

Së pari, paketa: çfarë është dhe çfarë nuk është

Paketa në krye të rrjetit furnizon softuer klienti për një platformë. Ajo nuk është as profili as dëgjuesi, dhe një skedar që rri në flash provon vetëm se dikush ngarkoi diçka. Nuk provon se ndonjë sesion e përdori ndonjëherë, se platforma përputhet me pajisjen e përdoruesit, ose se porta i referohet fare.

Konfirmoni emrin e saktë të skedarit, platformën që synon dhe vendin ku konfigurimi tregon drejt tij. Një paketë Windows nuk thotë asgjë për telefonat, dhe një skedar i ngarkuar që asnjë objekt i portës nuk e përmend është ruajtje, jo konfigurim. Një paketë që përputhet me platformën por nuk lidhet kurrë me shërbimin nuk do t'i ofrohet asnjë përdoruesi. As ajo, emri i skedarit të së cilës ndryshon nga vlera që pret konfigurimi.

Së dyti, profili: cilësime, jo softuer

Një profil klienti opsional mban cilësime që administratori i përgatit veçmas, si lista serverësh ose preferenca të klientit. Ngatërrimi i tij me një instalues është i zakonshëm sepse të dyja vijnë si skedarë me emra të ngjashëm. Nëse vendosja pret një profil, mungesa e tij ndryshon atë që bën klienti pas lidhjes, jo nëse lidhet fare.

Inventarizoni të dy artefaktet dhe shënoni se cilit prej tyre i referohet vërtet porta. Ai rresht i vetëm parandalon një klasë të tërë tikidash mbështetjeje ku dy njerëz diskutojnë skedarë të ndryshëm.

Së treti, dëgjuesi dhe identiteti TLS

Objekti i portës përcakton adresën dhe portën që arrin bota e jashtme dhe certifikatën që paraqitet gjatë shtrëngimit të duarve. Një shfletues që arrin një faqe portali, një klient që përfundon autentikimin dhe një aplikacion që arrin një server privat janë tre vëzhgime të veçanta, dhe vetëm i pari është test i dëgjuesit. Kur shtrëngimi i duarve dështon, asgjë më poshtë nuk ka rëndësi ende, prandaj verifikoni zinxhirin e certifikatave dhe emrin përpara se të ndryshoni ndonjë politikë.

Shënoni diku identitetin e pritur. Një certifikatë e rinovuar ose e zëvendësuar është arsyeja më e shpeshtë pse një vendosje që funksiononte muajin e kaluar ndalon së punuari këtë muaj.

Së katërti, konteksti dhe politika bashkë me shabllonin virtual

Konteksti dhe politika e grupit e lidhin autentikimin me sjelljen e sesionit: pishina e adresave, rrugët e ndara, DNS dhe cilat rrjete të brendshme mund të arrijë përdoruesi. Shembulli i dokumentuar e lidh kontekstin e tij me një shabllon virtual që furnizon sjelljen e ndërfaqes për çdo sesion, dhe ato objekte në anën e serverit ekzistojnë pavarësisht nga çdo gjë që shkarkon përdoruesi.

Kur përdoruesi autentikohet por nuk arrin asgjë, defekti zakonisht qëndron këtu, jo te klienti. Krahasoni pishinën, rrugët që i jepen klientit dhe ACL-në që lejon trafikun tutje, dhe kontrollojini ato kundrejt asaj që raporton përdoruesi, jo kundrejt asaj që synonte dizajni.

Verifikoni me radhë dhe ndaloni në dështimin e parë

Kaloni nëpër katër komponentët sipas radhës që i ndesh një lidhje: dëgjuesi, autentikimi, politika, pastaj sjellja e klientit. Konfirmoni TLS me identitetin e pritur, autentikoni një llogari të njohur si të mirë, lexoni adresën dhe rrugët e caktuara nga sesioni, dhe vetëm pas kësaj krahasoni platformën e klientit me paketën. Ndalimi në dështimin e parë mban një variabël të vetëm në lojë, dhe ky është ndryshimi midis riparimit dhe hamendjes.

Për një telefon ose çdo klient jashtë atij shembulli historik të desktopit, merrni kontratën reale të mbështetur të klientit dhe portës në vend që të supozoni se rrjedha e Windows përgjithësohet. Ndryshimi i një protokolli të kërkuar nuk do ta kthejë një profil IKEv2 në këtë shërbim SSL VPN, dhe instalimi i një pakete desktopi nuk provon asgjë për mbështetjen mobile.