Kunyimwa kwa kijiolojia kwenye Firebox: tafuta kwanza hatua ya kuingia VPN

Mtu aliye katika nchi nyingine hawezi kuunganisha, na wazo la kwanza ni kuangalia kanuni inayotoa ufikiaji wa rasilimali za ndani. Kanuni hiyo hufanya kazi baada ya kukubaliwa, kwa hiyo haiwezi kuwa ndiyo inayokataa handaki. Hatua inayozuia iko mahali fulani kwenye njia ya kuingia, na Firebox ina njia zaidi ya moja ya kuingia kulingana na huduma ya VPN. Pitia ukaguzi kwa mpangilio na uache mara moja mmoja wao anapoeleza kunyimwa huko.

Ukaguzi 1: taja huduma inayoingia

Kwa Mobile VPN na SSL, Access Portal na BOVPN juu ya TLS, kiingilio kinachokuja ni sera ya WatchGuard SSLVPN. Weka kizuizi kilichokusudiwa hapo, kwenye huduma iliyosanidiwa halisi, badala ya kukidokeza kutoka kwa kanuni ya ufikiaji wa mtumiaji inayofanya kazi baadaye.

IPsec huchukua njia tofauti. Sera ya IPSec iliyojengwa ndani huruhusu trafiki ya IPsec ya nje kufika Firebox kwa huduma husika za tawi na za VPN ya mkononi, na ina kipaumbele juu ya sera ya IPSec iliyoundwa kwa mkono. Ikiwa mteja wako ni IKEv2, uko kwenye njia hiyo ya pili, na sera ya SSLVPN haina umuhimu.

Kukosea hapa ndiyo mchana uliopotea kwa bure unaojulikana zaidi katika eneo hili: kuhariri sera ambayo haioni pakiti kamwe, kisha kuhitimisha kuwa kizuizi hakifanyi kazi.

Ukaguzi 2: soma kunyimwa, si nadharia

Fanya jaribio moja lililodhibitiwa na lililoruhusiwa na unganisha mambo manne: anwani ya umma ya chanzo ya mteja, huduma ya kuingia iliyogusa, sera iliyolingana, na sababu yoyote ya Deny kwenye kumbukumbu. Mwongozo wa WatchGuard wa kutatua matatizo ya IKEv2 unabainisha kuwa kijiolojia na ushughulikiaji wa pakiti chaguo-msingi vinaweza kukataa trafiki kabla ya kukubaliwa na sera iliyojengwa ndani, ambayo inamaanisha kuwa kunyimwa unakokiona kunaweza kutaja hatua ambayo hukuzingatia.

Uainishaji wa nchi hufuata chanzo cha mtandao kilichoonekana. Mtumiaji anayezunguka, NAT ya juu au njia nyingine iliyoidhinishwa inaweza kubadilisha kile Firebox inachokiona, kwa hiyo thibitisha anwani badala ya maelezo ya mtumiaji kuhusu alipo. Omba anwani ya umma ambayo mteja anaiona na uilinganishe na chanzo kwenye kumbukumbu ya Firebox. Zinapotofautiana, uainishaji unafuata njia ambayo hakuna aliyetaja.

Ukaguzi 3: sera iliyojengwa ndani bado ndiyo mmiliki?

Ikiwa sera ya IPSec iliyoundwa kwa mkono inaonekana kupuuzwa, angalia kama ile iliyojengwa ndani bado imewezeshwa. Kanuni ya mkono inayofunikwa na kanuni ya ndani yenye kipaumbele cha juu na kanuni ya mkono ambayo ni kukubaliwa pekee ni mipangilio tofauti yenye kiolesura kinachofanana.

Amua ni ipi unayokusudia kumiliki njia. Ikiwa ni sera ya mkono, ile ya ndani inapaswa kuzimwa kwa trafiki hiyo, na hapo ndipo ukaguzi unaofuata unapoanza.

Ukaguzi 4: panga uingizwaji kabla ya kuzima

Kuzima sera ya IPSec iliyojengwa ndani kunaondoa kukubaliwa kwake kwa huduma za VPN zilizoathirika. Hii inajumuisha handaki za tawi ambazo huenda huzifikirii unapotengeneza muunganisho wa mtumiaji mmoja wa mkononi.

Panga uingizwaji kamili kwanza: huduma zipi zinahitaji kukubaliwa, zipi wigo wa chanzo wanapata, na jinsi utakavyosimamia kifaa ikiwa mabadiliko yanaenda kombo. Weka njia huru ya usimamizi na urejeshaji wazi, kwa sababu kosa hapa linaweza kuondoa handaki ambayo ungetumia kuirekebisha. Andika hatua za urejeshaji kwenye kumbukumbu ya mabadiliko, ikiwa ni pamoja na jinsi ya kufikia kifaa ikiwa njia ya VPN haipo. Kisha jaribu uhuishaji, si muunganisho wa kwanza tu.

Muunganisho hai na majadiliano ya baadaye yanaweza yote kutegemea kukubaliwa. Mabadiliko yanayofanya kazi kwa kikao ulichokijaribu na kushindwa kwenye ubadilishaji wa funguo unaofuata ni matokeo ya kawaida ya kuchukua nafasi ya kukubaliwa bila kujaribu uhuishaji.

Ukaguzi 5: weka utambulisho mbali na mahali

Kijiolojia huongeza muktadha kwenye uamuzi wa kuingia. Hakiweki mtumiaji ni nani, na haipaswi kuchukua nafasi ya ukaguzi wa utambulisho wa lango, idhini ya akaunti au MFA.

Ikiwa hitaji la biashara ni watumiaji walioidhinishwa kutoka maeneo yaliyoidhinishwa pekee, unahitaji udhibiti wote wawili. Kanuni ya mahali inayoruhusu nchi nzima si mbadala wa uthibitishaji, na mtumiaji aliyethibitishwa katika nchi iliyozuiwa ni suala la sera badala ya hitilafu.

Ukaguzi 6: iandike na uthibitishe njia zote mbili

Andika huduma, sera ya kuingia, wigo uliokusudiwa wa mahali, vighairi na mmiliki wa urejeshaji. Kisha jaribu njia ya mkononi na angalau njia moja ya tovuti baada ya mabadiliko, ili kizuizi kibaki kimefungamana na huduma kilichokusudiwa kudhibiti.

Mwisho, soma tena kunyimwa ulikoanzia. Ikiwa kumebadilika kutoka kunyimwa kwa mahali hadi kushindwa kwa uthibitishaji au idhini, tatizo la kuingia limetatuliwa na lingine sasa linaonekana. Mwongozo wa WatchGuard wa kunyimwa kwa IKEv2 ndiyo rejea ya mpangilio wa hatua ulioelezwa hapo juu.