Pagtanggi ng geolocation sa Firebox: hanapin muna ang yugto ng pasukan ng VPN

May isang tao sa ibang bansa na hindi makakonekta, at ang unang reaksyon ay tingnan ang tuntuning nagbibigay ng access sa mga panloob na resource. Ang tuntuning iyon ay tumatakbo pagkatapos ng admission, kaya hindi ito ang maaaring tumatanggi sa tunnel. Ang humaharang na yugto ay nasa isang lugar sa daanan ng pasukan, at ang Firebox ay may higit sa isang daanan ng pasukan depende sa serbisyo ng VPN. Gawin ang mga pagsusuri ayon sa pagkakasunod-sunod at huminto kaagad kapag isa sa kanila ang nagpaliwanag ng pagtanggi.

Pagsusuri 1: pangalanan ang papasok na serbisyo

Para sa Mobile VPN na may SSL, Access Portal at BOVPN sa ibabaw ng TLS, ang papasok na pasukan ay ang WatchGuard SSLVPN policy. Ilapat ang nilalayong paghihigpit doon, sa aktwal na naka-configure na serbisyo, sa halip na hinuha ito mula sa tuntunin sa pag-access ng user na tumatakbo mamaya.

Ang IPsec ay dumadaan sa ibang daanan. Ang built-in na IPSec policy ay pumapayag sa panlabas na trapiko ng IPsec patungo sa Firebox para sa naaangkop na branch at mobile VPN na serbisyo, at ito ay may prayoridad kaysa sa manu-manong ginawang IPSec policy. Kung ang iyong client ay IKEv2, nasa pangalawang daanang iyon ka, at walang kaugnayan ang SSLVPN policy.

Ang magkamali dito ang pinakakaraniwang nasayang na hapon sa larangang ito: i-edit ang isang patakarang hindi kailanman nakakakita ng packet, pagkatapos ay tapusin na hindi gumagana ang paghihigpit.

Pagsusuri 2: basahin ang pagtanggi, hindi ang teorya

Gumawa ng isang kontroladong pinapayagang pagtatangka at iugnay ang apat na bagay: ang pampublikong source address ng client, ang serbisyo ng pasukan na natamaan nito, ang patakarang tumugma, at anumang dahilan ng Deny sa log. Ang gabay sa pag-troubleshoot ng WatchGuard para sa IKEv2 ay nagsasaad na ang geolocation at default na paghawak ng packet ay maaaring tumanggi sa trapiko bago ang admission ng built-in na patakaran, na nangangahulugang ang pagtangging nakikita mo ay maaaring magpangalan ng yugtong hindi mo pa isinasaalang-alang.

Ang pag-uuri ng bansa ay sumusunod sa naobserbahang pinagmulang network. Ang isang roaming na user, isang upstream NAT o ibang aprubadong daanan ay maaaring magbago ng nakikita ng Firebox, kaya tiyakin ang address sa halip na ang paglalarawan ng user kung nasaan siya. Hingin ang pampublikong address na nakikita ng client at ihambing ito sa source sa log ng Firebox. Kapag magkaiba ang mga ito, ang pag-uuri ay sumusunod sa daanang walang sinumang nabanggit.

Pagsusuri 3: hawak pa rin ba ng built-in na patakaran ang daanan?

Kung ang isang manu-manong IPSec policy ay tila binabalewala, tingnan kung ang built-in ay naka-enable pa rin. Ang manu-manong tuntuning natatakluban ng built-in na tuntuning may mas mataas na prayoridad at ang manu-manong tuntuning tanging admission ay magkaibang configuration na may magkatulad na itsura ng UI.

Magpasya kung alin ang nilalayon mong magmay-ari ng daanan. Kung ito ang manu-manong patakaran, kailangang i-disable ang built-in para sa trapikong iyon, at doon nagsisimula ang susunod na pagsusuri.

Pagsusuri 4: planuhin ang kapalit bago i-disable

Ang pag-disable sa built-in na IPSec policy ay nag-aalis ng admission nito para sa mga apektadong serbisyo ng VPN. Kasama rito ang mga branch tunnel na maaaring hindi mo iniisip habang inaayos mo ang koneksyon ng isang mobile na user.

Planuhin muna ang kumpletong kapalit: aling mga serbisyo ang nangangailangan ng admission, anong mga saklaw ng source ang makukuha nila, at paano mo pamamahalaan ang box kung magkamali ang pagbabago. Panatilihing bukas ang isang malayang daanan ng pamamahala at pag-recover, dahil ang isang pagkakamali dito ay maaaring mag-alis ng tunnel na gagamitin mo para ayusin ito. Itala ang mga hakbang sa pag-recover sa talaan ng pagbabago, kasama kung paano maabot ang box kung wala na ang daanan ng VPN. Pagkatapos ay subukan ang pag-renew, hindi lamang ang unang koneksyon.

Ang aktibong koneksyon at ang susunod na muling negosasyon ay parehong maaaring umasa sa admission. Ang pagbabagong gumagana para sa session na sinubukan mo ngunit nabigo sa susunod na pagpalit ng key ay klasikong kinalabasan ng pagpapalit ng admission nang hindi sinusubukan ang pag-renew.

Pagsusuri 5: panatilihing hiwalay ang pagkakakilanlan sa lokasyon

Ang geolocation ay nagdaragdag ng konteksto sa desisyon sa pasukan. Hindi nito itinatag kung sino ang user, at hindi ito dapat pumalit sa mga pagsusuri ng pagkakakilanlan ng gateway, awtorisasyon ng account o MFA.

Kung ang pangangailangan ng negosyo ay aprubadong user mula sa aprubadong lugar lamang, kailangan mo ang parehong kontrol. Ang tuntunin sa lokasyon na tumatanggap sa isang buong bansa ay hindi kapalit ng authentication, at ang isang authenticated na user sa isang hinarang na bansa ay tanong sa patakaran, hindi bug.

Pagsusuri 6: itala ito at i-verify ang parehong daanan

Isulat ang serbisyo, ang patakaran sa pasukan, ang nilalayong saklaw ng lokasyon, ang mga eksepsiyon at ang may-ari ng pag-recover. Pagkatapos ay subukan ang daanan ng mobile at kahit isang daanan ng site pagkatapos ng pagbabago, upang manatiling nakakabit ang paghihigpit sa serbisyong dinisenyo nitong kontrolin.

Sa huli, muling basahin ang pagtangging sinimulan mo. Kung nagbago ito mula sa pagtanggi sa lokasyon tungo sa kabiguan ng authentication o awtorisasyon, nalutas na ang problema sa pasukan at ibang isa na ang nakikita ngayon. Ang gabay ng WatchGuard sa pagtanggi ng IKEv2 ang sanggunian para sa pagkakasunod-sunod ng yugto na inilarawan sa itaas.