Äldre IOS SSL VPN: paket, profil, gateway, session

Du hittar ett klientinstallationspaket på routerns flash och drar slutsatsen att SSL VPN är konfigurerad. Det är en av fyra komponenter, och de tre övriga avgör om någon alls kan ansluta. I äldre IOS SSL VPN är delarna separata objekt: klientpaketet på headend, en valfri klientprofil, WebVPN-gatewayen som avslutar TLS, samt kontexten och gruppolicyn som håller autentiserings- och sessionsinställningarna. Missar du en ser felet likadant ut från utsidan.

Ciscos konfigurationsexempel för IOS SSL VPN, byggt på IOS 15.3 med AnyConnect 3.1, är användbart just för att det håller dessa objekt åtskilda. Läs det som en beskrivning av den äldre implementationen, inte som en rekommendation att driftsätta de versionerna.

Först paketet: vad det är och inte är

Paketet på headend levererar klientprogramvara för en plattform. Det är varken profilen eller lyssnaren, och en fil som ligger på flash bevisar bara att någon har laddat upp något. Den bevisar inte att en session någonsin använde den, att plattformen matchar användarens enhet, eller att gatewayen refererar till den över huvud taget.

Bekräfta det exakta filnamnet, plattformen den riktar sig mot och var konfigurationen pekar på den. Ett Windows-paket säger ingenting om telefoner, och en uppladdad fil som inget gateway-objekt nämner är lagring, inte konfiguration. Ett paket som matchar plattformen men aldrig kopplas till tjänsten erbjuds inte till någon användare. Inte heller ett vars filnamn skiljer sig från det värde konfigurationen förväntar sig.

Sedan profilen: inställningar, inte programvara

En valfri klientprofil bär inställningar som en administratör förbereder separat, till exempel serverlistor eller klientinställningar. Att förväxla den med ett installationspaket är vanligt eftersom båda kommer som filer med liknande namn. Förväntar sig driftsättningen en profil ändrar frånvaron vad klienten gör efter anslutning, inte om den ansluter.

Inventera båda artefakterna och notera vilken gatewayen faktiskt refererar till. Den enda raden förhindrar en hel klass av supportärenden där två personer pratar om olika filer.

Tredje, lyssnaren och TLS-identiteten

Gateway-objektet definierar adressen och porten som omvärlden når och certifikatet som presenteras under handskakningen. En webbläsare som når en portalsida, en klient som slutför autentisering och ett program som når en privat server är tre separata observationer, och bara den första är ett lyssnartest. När handskakningen misslyckas spelar inget längre ned någon roll ännu, så kontrollera certifikatkedjan och namnet innan du ändrar någon policy.

Skriv ned den förväntade identiteten någonstans. Ett förnyat eller utbytt certifikat är den vanligaste orsaken till att en driftsättning som fungerade förra månaden slutar fungera den här.

Fjärde, kontexten och policyn med sin virtuella mall

Kontexten och gruppolicyn binder autentisering till sessionsbeteende: adresspool, delade rutter, DNS och vilka interna nätverk en användare får nå. Det dokumenterade exemplet kopplar sin kontext till en virtuell mall som ger gränssnittsbeteende per session, och dessa serversidiga objekt finns oberoende av vad en användare laddar ned.

När en användare autentiserar men inte når något sitter felet oftast här och inte i klienten. Jämför poolen, rutterna som klienten får och ACL:en som tillåter vidare trafik, och kontrollera dem mot vad användaren rapporterar, inte mot vad designen avsåg.

Kontrollera i ordning och stanna vid första felet

Gå igenom de fyra komponenterna i den ordning en anslutning möter dem: lyssnare, autentisering, policy och sedan klientbeteende. Bekräfta TLS med den förväntade identiteten, autentisera ett känt fungerande konto, läs den tilldelade adressen och rutterna ur sessionen, och jämför först därefter klientens plattform med paketet. Att stanna vid första felet håller en enda variabel i spel, och det är skillnaden mellan en reparation och en gissning.

För en telefon eller vilken klient som helst utanför det historiska skrivbordsexemplet, skaffa det verkligt stödda klient- och gateway-avtalet i stället för att anta att Windows-arbetsflödet generaliserar. Att byta ett begärt protokoll gör inte en IKEv2-profil till den här SSL VPN-tjänsten, och att installera ett skrivbordspaket bevisar ingenting om mobilt stöd.