Миграција VPN-а: лиценце, функције и политика у једном запису

Сесије које још раде на старом концентратору изгледају као доказ да је миграција скоро завршена. Оне су само једна ставка у инвентару, и то најмање занимљива. Преласку је потребан запис који циљни пролаз, подржани клијент, купљено право и примењену политику пријема повезује у један артефакт који неко поседује. Без њега, миграција је низ претпоставки од којих свака појединачно изгледа разумно.

Четири колоне, а не једна контролна листа

Шта хардвер може да носи, шта уговор дозвољава и шта скуп правила допушта су три одвојена питања, а њихово мешање даје план који нико не може да ревидира. Држите их у одвојеним колонама и тражите да свака наведе свој извор. Уређај који прихвати везу доказује да уређај може да се повеже, и то не објашњава ништа о обиму функција или основи бројања. Три колоне које се не слажу далеко су корисније од једног пасуса који звучи самоуверено.

Запис је завршен када све четири колоне попуни неко ко има право да их попуни. Колона коју потпише погрешан власник је гласина са датумом.

Платформа и право

Запишите подржани пролаз, оперативне системе клијента, путању аутентикације и алате за управљање. Не држите застарели клијент у животу само зато што се његов стари профил још отвара, јер је тај профил изјава о компатибилности коју добављач можда више не испуњава. Упоредите тренутну изјаву о подршци са издањем које планирате да поставите.

За право запишите производ, тип лиценце, рок и основу бројања, па то ускладите преко власника налога. Извођење права из историјског бројача сесија је начин на који организација открије недостатак после преласка, а не пре њега.

Упутства за наручивање добављача показују зашто су ове разлике важне. На пример, упутство за наручивање Secure Client компаније Cisco дели нивое Advantage, Premier и VPN Only, сваки са својом мером и обимом функција. Користите тренутни уговор уместо да механички преводите стару ознаку.

Функције и примењена политика

Наведите могућности које су постављању заиста потребне: дозвољени режими тунела, процена уређаја, интеграција аутентикације и било који други модул. Проверите подршку и право за сваку појединачно, јер функција може бити подржана и без лиценце, или лиценцирана и неподржана у изабраном издању. Рачуна се само ред који на оба питања каже да.

Када је циљ ASA, колона функција се чита са уређаја, а не из уговора, зато снимите пролаз пре дана преласка. show vpn-sessiondb summary даје инвентар активних сесија и бројеве према којима се мери ваше право, show vpn-sessiondb detail anyconnect показује који тип клијента и профил је свака приписана сесија стварно користила, а show running-config webvpn снима конфигурацију пролаза од које те сесије зависе, и то је једини део записа који ниједан лиценцни документ не може да садржи.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

После преласка, покрените иста три на новом пролазу и упоредите их са снимљеним копијама. Померање броја сесија је очекивано; тип клијента или webvpn блок који се појави на једној страни, а не на другој је налаз, и он припада запису са објашњењем, а не коментару на тикету. Сачувајте и сирове снимке и разлике, јер ће следећи рецензент хтети да види шта је упоређено. Код другог добављача еквивалент је сопствена табела сесија и извоз профила те платформе, у формату који се неће поклопити, зато упоредите питања постављена њој, а не текст.

Затим повежите кориснике и уређаје са правилима циља, дозволама за ресурсе и понашањем при одбијању. Лиценца која омогућава функцију није конфигурација која је спроводи, и управо у јазу између то двоје живи већина изненађења при миграцији.

Запишите случајеве одбијања са истом пажњом као дозвољене случајеве. План који доказује само да администратор може да се повеже тестирао је најлакши пут и ниједну границу.

Прихватите са обе стране одлуке

Пре преласка покрените одобрен план прихватања кроз предвиђене типове клијената, методе аутентикације и ресурсе. Укључите уређај или идентитет који мора да буде одбијен, и потврдите које правило га је изабрало и докле резултујућа сесија може да стигне. Договорите случајеве одбијања пре него што се отвори прозор за промене, да их нико не би тихо изоставио под временским притиском. План без случаја одбијања тестирао је срећан пут и ништа друго.

Одржавајте пут за повратак и пут за управљање који не зависе од онога што се мигрира. Безбедно чувајте конфигурацију и записе идентитета, а застарела криптографска подешавања оставите иза себе уместо да их носите напред. Никада не лепите идентификаторе лиценце или корисничке записе у јавне белешке.

Нека власник заједно потпише право и мапирање политике. Завршени запис одговара на два питања одједном: шта организација има лиценцу да постави и која правила заиста прихватају и ограничавају њене кориснике.