IOS SSL VPN แบบเก่า: แพ็กเกจ โปรไฟล์ เกตเวย์ และเซสชัน

คุณพบตัวติดตั้งไคลเอนต์บนแฟลชของเราเตอร์แล้วสรุปว่า SSL VPN ถูกกำหนดค่าแล้ว นั่นเป็นเพียงองค์ประกอบหนึ่งจากสี่ส่วน และอีกสามส่วนที่เหลือเป็นตัวตัดสินว่ามีใครเชื่อมต่อได้หรือไม่ บน IOS SSL VPN แบบเก่า ชิ้นส่วนต่างๆ เป็นออบเจ็กต์แยกกัน ได้แก่ แพ็กเกจไคลเอนต์ที่เฮดเอนด์ โปรไฟล์ไคลเอนต์ซึ่งไม่บังคับ เกตเวย์ WebVPN ที่ยุติ TLS และบริบทพร้อมนโยบายกลุ่มที่เก็บการพิสูจน์ตัวตนและการตั้งค่าเซสชัน พลาดไปหนึ่งอย่าง ความล้มเหลวก็ดูเหมือนเดิมจากภายนอก

ตัวอย่างการกำหนดค่า Cisco IOS SSL VPN ที่สร้างบน IOS 15.3 กับ AnyConnect 3.1 มีประโยชน์เพราะมันแยกออบเจ็กต์เหล่านั้นออกจากกัน อ่านมันเป็นคำอธิบายของการใช้งานรุ่นเก่านั้น ไม่ใช่คำแนะนำให้ติดตั้งเวอร์ชันเหล่านั้น

ข้อแรก แพ็กเกจ: คืออะไรและไม่ใช่อะไร

แพ็กเกจที่เฮดเอนด์จัดหาซอฟต์แวร์ไคลเอนต์สำหรับแพลตฟอร์มเดียว มันไม่ใช่โปรไฟล์และไม่ใช่ตัวรับฟัง และ ไฟล์ที่วางอยู่บนแฟลช พิสูจน์เพียงว่ามีคนอัปโหลดอะไรบางอย่าง ไม่ได้พิสูจน์ว่าเซสชันใดเคยใช้มัน แพลตฟอร์มตรงกับอุปกรณ์ของผู้ใช้ หรือเกตเวย์อ้างถึงมันเลย

ยืนยันชื่อไฟล์ที่แน่นอน แพลตฟอร์มที่มันมุ่งเป้า และจุดที่การกำหนดค่าชี้ไปยังมัน แพ็กเกจ Windows ไม่บอกอะไรเกี่ยวกับโทรศัพท์ และไฟล์ที่อัปโหลดซึ่งไม่มีออบเจ็กต์เกตเวย์ใดกล่าวถึงเป็นที่เก็บ ไม่ใช่การกำหนดค่า แพ็กเกจที่ตรงกับแพลตฟอร์มแต่ไม่เคยผูกกับบริการจะไม่ถูกเสนอให้ผู้ใช้คนใด และเช่นเดียวกันกับแพ็กเกจที่ชื่อไฟล์ต่างจากค่าที่การกำหนดค่าคาดไว้

ข้อสอง โปรไฟล์: การตั้งค่า ไม่ใช่ซอฟต์แวร์

โปรไฟล์ไคลเอนต์แบบไม่บังคับบรรจุการตั้งค่าที่ผู้ดูแลระบบเตรียมแยกไว้ เช่น รายชื่อเซิร์ฟเวอร์หรือค่ากำหนดของไคลเอนต์ การสับสนกับตัวติดตั้งเป็นเรื่องปกติเพราะทั้งสองมาเป็นไฟล์ที่ชื่อคล้ายกัน หากการติดตั้งคาดหวังโปรไฟล์ การไม่มีมันจะเปลี่ยนสิ่งที่ไคลเอนต์ทำหลังเชื่อมต่อ ไม่ใช่เปลี่ยนว่าจะเชื่อมต่อได้หรือไม่

ทำบัญชีทั้งสองสิ่งและบันทึกว่าเกตเวย์อ้างถึงอันไหนจริงๆ บรรทัดเดียวนั้นป้องกันตั๋วช่วยเหลือประเภทที่คนสองคนกำลังคุยกันเรื่องไฟล์คนละไฟล์

ข้อสาม ตัวรับฟังและอัตลักษณ์ TLS

ออบเจ็กต์เกตเวย์กำหนดที่อยู่และพอร์ตที่โลกภายนอกเข้าถึง และใบรับรองที่นำเสนอระหว่างการจับมือ เบราว์เซอร์ที่ไปถึงหน้าเว็บพอร์ทัล ไคลเอนต์ที่พิสูจน์ตัวตนสำเร็จ และแอปพลิเคชันที่ไปถึงเซิร์ฟเวอร์ส่วนตัวคือการสังเกตสามอย่างแยกกัน และมีเพียงอย่างแรกเท่านั้นที่เป็นการทดสอบตัวรับฟัง เมื่อการจับมือล้มเหลว สิ่งที่อยู่ปลายทางยังไม่สำคัญ จึงตรวจสอบห่วงโซ่ใบรับรองและชื่อก่อนแก้ไขนโยบายใดๆ

จดอัตลักษณ์ที่คาดไว้ไว้ที่ไหนสักแห่ง ใบรับรองที่ต่ออายุหรือเปลี่ยนใหม่เป็นสาเหตุที่พบบ่อยที่สุดที่การติดตั้งซึ่งทำงานเมื่อเดือนที่แล้วหยุดทำงานในเดือนนี้

ข้อสี่ บริบทและนโยบายพร้อมเทมเพลตเสมือน

บริบทและนโยบายกลุ่มผูกการพิสูจน์ตัวตนเข้ากับพฤติกรรมของเซสชัน ได้แก่ พูลที่อยู่ เส้นทางที่แยก DNS และเครือข่ายภายในที่ผู้ใช้เข้าถึงได้ ตัวอย่างในเอกสารผูกบริบทของตนกับเทมเพลตเสมือนที่ให้พฤติกรรมอินเทอร์เฟซสำหรับแต่ละเซสชัน และออบเจ็กต์ฝั่งเซิร์ฟเวอร์เหล่านั้นดำรงอยู่โดยไม่ขึ้นกับสิ่งที่ผู้ใช้ดาวน์โหลด

เมื่อผู้ใช้พิสูจน์ตัวตนได้แต่เข้าไม่ถึงอะไรเลย ข้อบกพร่องมักอยู่ที่นี่ ไม่ใช่ที่ไคลเอนต์ เปรียบเทียบพูล เส้นทางที่มอบให้ไคลเอนต์ และ ACL ที่อนุญาตทราฟฟิกต่อไป และตรวจสอบกับสิ่งที่ผู้ใช้รายงาน ไม่ใช่กับสิ่งที่การออกแบบตั้งใจไว้

ตรวจตามลำดับและหยุดที่ความล้มเหลวแรก

ไล่องค์ประกอบทั้งสี่ตามลำดับที่การเชื่อมต่อพบเจอ ได้แก่ ตัวรับฟัง การพิสูจน์ตัวตน นโยบาย แล้วจึงเป็นพฤติกรรมของไคลเอนต์ ยืนยัน TLS ด้วยอัตลักษณ์ที่คาดไว้ พิสูจน์ตัวตนบัญชีที่รู้ว่าใช้ได้ อ่านที่อยู่และเส้นทางที่ได้รับจากเซสชัน และหลังจากนั้นจึงเปรียบเทียบแพลตฟอร์มของไคลเอนต์กับแพ็กเกจ การหยุดที่ความล้มเหลวแรก ทำให้เหลือตัวแปรเดียวในเกม และนั่นคือความต่างระหว่างการซ่อมกับการเดา

สำหรับโทรศัพท์หรือไคลเอนต์ใดๆ นอกเหนือจากตัวอย่างเดสก์ท็อปในอดีตนั้น ให้ขอสัญญาไคลเอนต์และเกตเวย์ที่รองรับจริง แทนที่จะถือว่ากระบวนการ Windows ใช้ได้ทั่วไป การเปลี่ยนโปรโตคอลที่ร้องขอจะไม่ทำให้โปรไฟล์ IKEv2 กลายเป็นบริการ SSL VPN นี้ และการติดตั้งแพ็กเกจเดสก์ท็อปไม่ได้พิสูจน์อะไรเกี่ยวกับการรองรับมือถือ