การย้าย VPN: ใบอนุญาต ฟีเจอร์ และนโยบายในบันทึกเดียว

เซสชันที่ยังทำงานบนคอนเซนเทรเตอร์เก่าดูเหมือนเป็นหลักฐานว่าการย้ายเกือบเสร็จแล้ว แต่จริง ๆ แล้วมันเป็นเพียงรายการเดียวในทะเบียนสินทรัพย์ และเป็นรายการที่น่าสนใจน้อยที่สุด สิ่งที่การสลับต้องการคือบันทึกที่ผูกเกตเวย์ปลายทาง ไคลเอนต์ที่รองรับ สิทธิ์ที่ซื้อมา และนโยบายการรับเข้าที่บังคับใช้ไว้ในสิ่งเดียวที่ใครคนหนึ่งเป็นเจ้าของ หากไม่มีบันทึกนั้น การย้ายก็เป็นเพียงชุดสมมติฐานที่แต่ละข้อดูสมเหตุสมผลเมื่อแยกดู

สี่คอลัมน์ ไม่ใช่รายการตรวจสอบเดียว

สิ่งที่ฮาร์ดแวร์รองรับได้ สิ่งที่สัญญาอนุญาต และสิ่งที่ชุดกฎอนุญาตเป็นสามคำถามแยกกัน การผสมปนเปกันจะได้แผนที่ไม่มีใครตรวจสอบได้ เก็บไว้ในคอลัมน์แยกกันและให้แต่ละคอลัมน์อ้างอิงแหล่งที่มา อุปกรณ์ที่รับการเชื่อมต่อได้พิสูจน์ว่าอุปกรณ์เชื่อมต่อได้ และไม่ได้อธิบายอะไรเกี่ยวกับขอบเขตฟีเจอร์หรือฐานการนับ สามคอลัมน์ที่ขัดกันมีประโยชน์กว่าย่อหน้าเดียวที่ฟังดูมั่นใจมาก

บันทึกจะสมบูรณ์เมื่อทั้งสี่คอลัมน์ถูกกรอกโดยผู้มีสิทธิ์กรอก คอลัมน์ที่ลงนามโดยเจ้าของผิดคนคือข่าวลือที่ประทับวันที่

แพลตฟอร์มและสิทธิ์

บันทึกเกตเวย์ที่รองรับ ระบบปฏิบัติการของไคลเอนต์ เส้นทางการยืนยันตัวตน และเครื่องมือบริหารจัดการ อย่าเลี้ยงไคลเอนต์ที่ล้าสมัยไว้เพียงเพราะโปรไฟล์เก่ายังเปิดได้ เพราะโปรไฟล์นั้นคือคำกล่าวอ้างเรื่องความเข้ากันได้ที่ผู้ขายอาจไม่ปฏิบัติตามอีกต่อไป ตรวจสอบถ้อยแถลงการสนับสนุนปัจจุบันกับเวอร์ชันที่คุณวางแผนจะติดตั้ง

สำหรับสิทธิ์ ให้บันทึกผลิตภัณฑ์ ประเภทใบอนุญาต ระยะเวลา และฐานการนับ แล้วกระทบยอดผ่านเจ้าของบัญชี การอนุมานสิทธิ์จากตัวนับเซสชันในอดีตคือวิธีที่องค์กรค้นพบการขาดแคลนหลังการสลับ ไม่ใช่ก่อนหน้า

คู่มือการสั่งซื้อของผู้ขายแสดงให้เห็นว่าความแตกต่างเหล่านี้สำคัญอย่างไร ตัวอย่างเช่น คู่มือการสั่งซื้อ Secure Client ของ Cisco แยกชั้น Advantage, Premier และ VPN Only โดยแต่ละชั้นมีมาตรวัดและขอบเขตฟีเจอร์ของตัวเอง ใช้ข้อตกลงปัจจุบันแทนการแปลป้ายเก่าแบบกลไก

ฟีเจอร์และนโยบายที่บังคับใช้

ระบุความสามารถที่การติดตั้งต้องการจริง: โหมดอุโมงค์ที่อนุญาต การประเมินอุปกรณ์ การผสานการยืนยันตัวตน และโมดูลอื่นใด ตรวจสอบการสนับสนุนและสิทธิ์ของแต่ละอย่างแยกกัน เพราะฟีเจอร์อาจได้รับการสนับสนุนแต่ไม่มีใบอนุญาต หรือมีใบอนุญาตแต่ไม่ได้รับการสนับสนุนในเวอร์ชันที่เลือก เฉพาะแถวที่ตอบว่าใช่ทั้งสองคำถามเท่านั้นที่นับ

เมื่อเป้าหมายเป็น ASA คอลัมน์ฟีเจอร์อ่านจากตัวอุปกรณ์ไม่ใช่จากสัญญา ดังนั้นให้บันทึกเกตเวย์ก่อนวันสลับ show vpn-sessiondb summary ให้ทะเบียนเซสชันที่ใช้งานอยู่และตัวเลขที่ใช้วัดสิทธิ์ของคุณ show vpn-sessiondb detail anyconnect แสดงว่าแต่ละเซสชันที่ถูกนับใช้ไคลเอนต์ชนิดใดและโปรไฟล์ใดจริง และ show running-config webvpn บันทึกการกำหนดค่าเกตเวย์ที่เซสชันเหล่านั้นพึ่งพา และนี่คือส่วนเดียวของบันทึกที่เอกสารใบอนุญาตใด ๆ บรรจุไว้ไม่ได้

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

หลังการสลับ ให้รันทั้งสามคำสั่งเดิมบนเกตเวย์ใหม่และเทียบกับสำเนาที่บันทึกไว้ จำนวนเซสชันที่เปลี่ยนไปเป็นเรื่องคาดหมาย ส่วนชนิดไคลเอนต์หรือบล็อก webvpn ที่ปรากฏข้างหนึ่งแต่ไม่อีกข้างคือสิ่งที่ค้นพบ และควรอยู่ในบันทึกพร้อมคำอธิบาย ไม่ใช่ในความเห็นของตั๋วงาน เก็บทั้งข้อมูลดิบและส่วนต่างไว้ เพราะผู้ตรวจสอบคนถัดไปจะอยากเห็นว่าอะไรถูกนำมาเปรียบเทียบ กับผู้ขายรายอื่น สิ่งที่เทียบเคียงได้คือตารางเซสชันและการส่งออกโปรไฟล์ของแพลตฟอร์มนั้น ในรูปแบบที่จะไม่ตรงกัน ดังนั้นจงเปรียบเทียบคำถามที่ถามกับมัน ไม่ใช่ตัวข้อความ

จากนั้นจับคู่ผู้ใช้และอุปกรณ์กับกฎของเป้าหมาย สิทธิ์ของทรัพยากร และพฤติกรรมการปฏิเสธ ใบอนุญาตที่เปิดใช้ฟีเจอร์ไม่ใช่การกำหนดค่าที่ลงมือทำ และช่องว่างระหว่างสองสิ่งนี้คือที่อยู่ของความประหลาดใจในการย้ายส่วนใหญ่

เขียนกรณีการปฏิเสธด้วยความใส่ใจเท่ากับกรณีที่อนุญาต แผนที่พิสูจน์เพียงว่าผู้ดูแลระบบเชื่อมต่อได้นั้นได้ทดสอบเส้นทางที่ง่ายที่สุดและไม่ได้ทดสอบขอบเขตใดเลย

ยอมรับทั้งสองด้านของการตัดสินใจ

ก่อนการสลับ ให้รันแผนการยอมรับที่ได้รับอนุมัติครอบคลุมชนิดไคลเอนต์ที่ตั้งใจ วิธีการยืนยันตัวตน และทรัพยากร รวมอุปกรณ์หรือตัวตนที่ต้องถูกปฏิเสธ และยืนยันว่ากฎใดเลือกมันและเซสชันที่ได้สามารถเข้าถึงอะไรได้ ตกลงเรื่องกรณีปฏิเสธก่อนหน้าต่างการเปลี่ยนแปลงจะเปิด เพื่อให้ไม่มีใครทิ้งมันไปอย่างเงียบ ๆ ภายใต้แรงกดดันด้านเวลา แผนที่ไม่มีกรณีปฏิเสธเลยได้ทดสอบเพียงเส้นทางที่ราบรื่นเท่านั้น

เก็บเส้นทางย้อนกลับและเส้นทางบริหารที่ไม่ขึ้นกับสิ่งที่กำลังย้าย รักษาการกำหนดค่าและบันทึกตัวตนไว้อย่างปลอดภัย และปล่อยการตั้งค่าการเข้ารหัสที่ล้าสมัยไว้ข้างหลังแทนที่จะหิ้วไปข้างหน้า อย่าวางตัวระบุใบอนุญาตหรือบันทึกผู้ใช้ลงในบันทึกสาธารณะเด็ดขาด

ให้เจ้าของลงนามทั้งสิทธิ์และการจับคู่นโยบายพร้อมกัน บันทึกที่เสร็จสมบูรณ์ตอบสองคำถามในคราวเดียว: องค์กรมีใบอนุญาตให้ติดตั้งอะไร และกฎใดที่รับและจำกัดผู้ใช้ขององค์กรจริง