Migrimi i një VPN: licencat, veçoritë dhe politika si një regjistër

Sesionet që ende funksionojnë në koncentratorin e vjetër duken si provë se migrimi është pothuajse i përfunduar. Por ato janë vetëm një zë inventari, dhe më pak interesanti. Ajo që i duhet kalimit është një regjistër që lidh portën e synuar, klientin e mbështetur, të drejtën e blerë dhe politikën e pranimit të zbatuar në një artefakt të vetëm që dikush e zotëron. Pa të, migrimi është një sërë supozimesh që secila veç e veç duket e arsyeshme.

Katër kolona, jo një listë kontrolli

Çfarë mund të mbajë hardueri, çfarë lejon kontrata dhe çfarë lejon grupi i rregullave janë tre pyetje të ndara, dhe përzierja e tyre prodhon një plan që askush nuk mund ta auditojë. Mbabni ato në kolona të ndara dhe kërkoni që secila të citojë burimin e vet. Një pajisje që pranon një lidhje provon se një pajisje mund të lidhet, dhe nuk shpjegon asgjë për shtrirjen e veçorive ose bazën e numërimit. Tre kolona që nuk pajtohen janë shumë më të dobishme se një paragraf që tingëllon i sigurt.

Regjistri përfundon kur të katër kolonat plotësohen nga dikush që ka të drejtë t'i plotësojë. Një kolonë e nënshkruar nga pronari i gabuar është një thashethem me datë.

Platforma dhe e drejta

Regjistroni portën e mbështetur, sistemet operative të klientit, rrugën e vërtetimit dhe mjetet e menaxhimit. Mos e mbani gjallë një klient të vjetruar vetëm sepse profili i tij i vjetër hapet ende, pasi ai profil është një pohim përputhshmërie që furnizuesi mund të mos e përmbushë më. Krahasoni deklaratën aktuale të mbështetjes me versionin që planifikoni të vendosni.

Për të drejtën, regjistroni produktin, llojin e licencës, afatin dhe bazën e numërimit, pastaj rakordojeni përmes pronarit të llogarisë. Të nxjerrësh të drejta nga një numërues historik sesionesh është mënyra se si një organizatë zbulon një mungesë pas kalimit dhe jo para tij.

Udhëzuesit e porosisë të furnizuesve tregojnë pse këto dallime kanë rëndësi. Për shembull, udhëzuesi i porosisë i Secure Client nga Cisco ndan nivelet Advantage, Premier dhe VPN Only, secili me masën dhe shtrirjen e vet të veçorive. Përdorni marrëveshjen aktuale në vend që të përktheni mekanikisht një etiketë të vjetër.

Veçoritë dhe politika e zbatuar

Listoni aftësitë që vendosja ka vërtet nevojë: mënyrat e lejuara të tunelit, vlerësimi i pajisjeve, integrimi i vërtetimit dhe çdo modul tjetër. Kontrolloni mbështetjen dhe të drejtën për secilën veçmas, sepse një veçori mund të mbështetet dhe të jetë pa licencë, ose të licencohet dhe të mos mbështetet në versionin e zgjedhur. Numërohet vetëm rreshti që përgjigjet po për të dyja pyetjet.

Kur objektivi është një ASA, kolona e veçorive lexohet nga vetë pajisja dhe jo nga kontrata, prandaj kapni portën para ditës së kalimit. show vpn-sessiondb summary jep inventarin e sesioneve aktive dhe numrat me të cilët matet e drejta juaj, show vpn-sessiondb detail anyconnect tregon çfarë lloji klienti dhe profili përdori realisht çdo sesion i atribuar, dhe show running-config webvpn kap konfigurimin e portës nga i cili varen ato sesione, dhe kjo është pjesa e vetme e regjistrit që asnjë dokument licence nuk mund ta përmbajë.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Pas kalimit, ekzekutoni të njëjtat tre në portën e re dhe krahasoni me kopjet e kapura. Lëvizja e numrit të sesioneve pritet; një lloj klienti ose një bllok webvpn që shfaqet në njërën anë dhe jo në tjetrën është gjetja, dhe i takon regjistrit me një shpjegim, jo një komenti bilete. Ruani kapjet e papërpunuara si dhe diferencat, sepse recensuesi tjetër do të dojë të shohë çfarë u krahasua. Tek një furnizues tjetër ekuivalenti është tabela e sesioneve dhe eksporti i profileve të asaj platforme, në një format që nuk do të përputhet, prandaj krahasoni pyetjet që i bëhen dhe jo tekstin.

Pastaj hartëzoni përdoruesit dhe pajisjet në rregullat e objektivit, lejet e burimeve dhe sjelljen e refuzimit. Një licencë që mundëson një veçori nuk është një konfigurim që e ushtron atë, dhe boshllëku mes të dyjave është aty ku jetojnë shumica e surprizave të migrimit.

Shkruani rastet e refuzimit me të njëjtin kujdes si rastet e lejuara. Një plan që provon vetëm se një administrator mund të lidhet ka testuar rrugën më të lehtë dhe asnjë nga kufijtë.

Pranoni në të dyja anët e vendimit

Para kalimit, ekzekutoni një plan pranimi të miratuar për llojet e synuara të klientëve, metodat e vërtetimit dhe burimet. Përfshini një pajisje ose identitet që duhet të refuzohet, dhe konfirmoni cili rregull e zgjodhi dhe ku mund të arrijë sesioni që rezulton. Bini dakord për rastet e mohimit para se të hapet dritarja e ndryshimit, që askush të mos mund t'i hedhë në heshtje nën presionin e kohës. Një plan pa rast mohimi ka testuar rrugën e lumtur dhe asgjë tjetër.

Mbani një rrugë kthimi dhe një rrugë menaxhimi që nuk varet nga ajo që po migrohet. Ruani konfigurimin dhe regjistrat e identitetit në mënyrë të sigurt, dhe lini pas cilësimet kriptografike të vjetruara në vend që t'i mbani përpara. Kurrë mos ngjitni identifikues licence ose regjistra përdoruesish në shënime publike.

Bëni që pronari të nënshkruajë të drejtën dhe hartëzimin e politikës së bashku. Regjistri i përfunduar u përgjigjet dy pyetjeve njëherësh: çfarë ka licencë organizata të vendosë, dhe cilat rregulla i pranojnë dhe i kufizojnë vërtet përdoruesit e saj.