Firebox: одбијање геолокације — прво пронађите фазу улаза VPN

Неко у другој држави не може да се повеже, а прва помисао је да се погледа правило које даје приступ унутрашњим ресурсима. То правило ради након пријема, па не може бити оно што одбија тунел. Фаза која блокира налази се негде на улазном путу, а Firebox има више од једног улазног пута у зависности од VPN сервиса. Изведите провере по реду и зауставите се чим једна од њих објасни одбијање.

Провера 1: именујте долазни сервис

За Mobile VPN са SSL, Access Portal и BOVPN преко TLS долазни улаз је WatchGuard SSLVPN правило. Примените намеравано ограничење тамо, на стварно конфигурисаном сервису, уместо да га изводите из правила за приступ корисника које ради касније.

IPsec иде другим путем. Уграђено IPSec правило дозвољава спољни IPsec саобраћај према Firebox-у за одговарајуће branch и мобилне VPN сервисе и има предност над ручно креираним IPSec правилом. Ако је ваш клијент IKEv2, ви сте на том другом путу и SSLVPN правило је неважно.

Погрешити овде је најчешће узалуд изгубљено поподне у овој области: уређивање правила које никада не види пакет, а затим закључак да ограничење не ради.

Провера 2: читајте одбијање, а не теорију

Направите један контролисани дозвољени покушај и повежите четири ствари: јавну изворну адресу клијента, долазни сервис који је погодио, правило које се поклопило и било који разлог одбијања у дневнику. WatchGuard-ове смернице за решавање проблема са IKEv2 наводе да геолокација и подразумевано руковање пакетима могу да одбију саобраћај пре пријема уграђеног правила, што значи да одбијање које видите може да наведе фазу коју нисте разматрали.

Класификација државе прати опажени мрежни извор. Корисник у ромингу, NAT изнад или други одобрени пут могу да промене оно што Firebox види, зато потврдите адресу, а не корисников опис где се налази. Затражите јавну адресу коју клијент види и упоредите је са извором у Firebox дневнику. Када се разликују, класификација прати пут који нико није споменуо.

Провера 3: је ли уграђено правило још увек власник?

Ако се чини да се ручно IPSec правило игнорише, проверите да ли је уграђено још увек омогућено. Ручно правило које засењује уграђено правило вишег приоритета и ручно правило које је једини пријем различите су конфигурације са истоветним интерфејсом.

Одлучите које од њих желите да поседује пут. Ако је то ручно правило, уграђено се мора онемогућити за тај саобраћај и ту почиње следећа провера.

Провера 4: планирајте замену пре онемогућавања

Онемогућавање уграђеног IPSec правила уклања његов пријем за погођене VPN сервисе. То укључује branch тунеле на које можда не мислите док поправљате везу једног мобилног корисника.

Прво планирајте потпуну замену: који сервиси требају пријем, које изворне опсеге добијају и како ћете управљати уређајем ако промена крене по злу. Држите независан пут за управљање и опоравак отворен, јер грешка овде може да уклони тунел који бисте користили да је поправите. Запишите кораке опоравка у запис о промени, укључујући како доћи до уређаја ако VPN пута нема. Затим тестирајте обнављање, не само прву везу.

Активна повезаност и касније поновно преговарање могу да зависе од пријема. Промена која ради за тестирану сесију, а закаже при следећој замени кључа, класичан је исход замене пријема без тестирања обнављања.

Провера 5: држите идентитет одвојено од локације

Геолокација додаје контекст улазној одлуци. Она не утврђује ко је корисник и не сме да замени провере идентитета приступника, ауторизацију налога или MFA.

Ако пословни захтев подразумева само одобрене кориснике са одобрених места, потребне су вам обе контроле. Правило локације које дозвољава целу државу није замена за аутентификацију, а аутентификован корисник у блокираној држави питање је правила, а не грешка.

Провера 6: запишите то и проверите оба пута

Запишите сервис, улазно правило, намеравани опсег локације, изузетке и власника опоравка. Затим тестирајте мобилни пут и барем један пут до локације након промене, како би ограничење остало везано за сервис за који је намењено.

Напослетку, поново прочитајте одбијање са којим сте почели. Ако се променило из одбијања због локације у неуспех аутентификације или ауторизације, улазни проблем је решен и сада је видљив други. WatchGuard-ов водич за одбијање IKEv2 је референца за редослед фаза описан горе.