Застарели IOS SSL VPN: пакет, профил, гејтвеј, сесија

Пронађете инсталатер клијента на флешу рутера и закључите да је SSL VPN конфигурисан. То је само једна компонента од четири, а преостале три одлучују да ли било ко може да се повеже. На застарелом IOS SSL VPN делови су одвојени објекти: клијентски пакет главног чвора, опциони профил клијента, WebVPN гејтвеј који завршава TLS и контекст заједно са групном политиком у којима стоје подешавања аутентикације и сесије. Пропустите један и неуспех споља изгледа исто.

Пример конфигурације Cisco IOS SSL VPN, саграђен на IOS 15.3 са AnyConnect 3.1, корисан је управо зато што те објекте држи одвојено. Читајте га као опис те старије имплементације, а не као препоруку да распоредите те верзије.

Прво, пакет: шта јесте и шта није

Пакет главног чвора испоручује клијентски софтвер за једну платформу. Он није ни профил ни пријемник, а датотека која само лежи на флешу доказује тек да је неко нешто отпремио. Не доказује да ју је сесија икада користила, да платформа одговара уређају корисника или да гејтвеј уопште указује на њу.

Проверите тачан назив датотеке, платформу којој је намењена и место на које конфигурација указује. Windows пакет вам не говори ништа о телефонима, а отпремљена датотека коју не помиње ниједан објекат гејтвеја јесте складиште, а не конфигурација. Пакет који одговара платформи, али никада није повезан са сервисом, неће бити понуђен ниједном кориснику. Ни онај чији се назив датотеке разликује од вредности коју конфигурација очекује.

Друго, профил: подешавања, а не софтвер

Опциони профил клијента носи подешавања која администратор припрема одвојено, попут спискова сервера или клијентских преференција. Мешање с инсталатером је уобичајено јер обоје долазе као датотеке сличних назива. Ако распоређивање очекује профил, његово одсуство мења оно што клијент ради после повезивања, а не да ли се уопште повезује.

Попишите оба артефакта и забележите на који од њих гејтвеј заиста указује. Тај један ред спречава читаву класу тикета подршке у којима двоје људи разговарају о различитим датотекама.

Треће, пријемник и идентитет TLS

Објекат гејтвеја дефинише адресу и порт до којих стиже спољни свет и сертификат који се представља током руковања. Прегледач који стигне до странице портала, клијент који заврши аутентикацију и апликација која стигне до приватног сервера јесу три одвојена запажања, и само је прво тест пријемника. Када руковање не успе, ништа даље још није важно, зато проверите ланац сертификата и назив пре него што измените било коју политику.

Запишите очекивани идентитет негде. Обновљен или замењен сертификат најчешћи је разлог зашто распоређивање које је радило прошлог месеца престане да ради овог.

Четврто, контекст и политика са својим виртуелним шаблоном

Контекст и групна политика везују аутентикацију за понашање сесије: скуп адреса, раздељене руте, DNS и то које унутрашње мреже корисник сме да достигне. Документовани пример прикачи свој контекст на виртуелни шаблон који обезбеђује понашање интерфејса по сесији, а ти објекти на страни сервера постоје независно од свега што корисник преузме.

Када се корисник аутентикује, али ништа не достигне, грешка обично лежи овде, а не у клијенту. Упоредите скуп, руте додељене клијенту и ACL који дозвољава даљи саобраћај, и проверите их према ономе што корисник пријављује, а не према ономе што је дизајн намеравао.

Проверавајте редом и зауставите се на првом неуспеху

Прођите кроз четири компоненте редом којим их веза среће: пријемник, аутентикација, политика, затим понашање клијента. Потврдите TLS са очекиваним идентитетом, аутентикујте налог за који се зна да је исправан, прочитајте додељену адресу и руте из сесије и тек онда упоредите платформу клијента са пакетом. Заустављање на првом неуспеху држи једну променљиву у игри, а то је разлика између поправке и нагађања.

За телефон или било ког клијента изван тог историјског примера за десктоп, прибавите прави уговор о подржаном клијенту и гејтвеју уместо да претпоставите да се Windows ток уопштава. Промена затраженог протокола неће претворити IKEv2 профил у ову SSL VPN услугу, а инсталирање десктоп пакета не доказује ништа о подршци за мобилне уређаје.