Lumang IOS SSL VPN: pakete, profile, gateway, session

Nakahanap ka ng installer ng kliyente sa flash ng router at napagpasyahan mong naka-configure na ang SSL VPN. Isa lamang ito sa apat na bahagi, at ang natitirang tatlo ang nagpapasya kung may makakakonekta. Sa lumang IOS SSL VPN, magkakahiwalay na bagay ang mga piraso: ang pakete ng kliyente sa headend, isang opsyonal na profile ng kliyente, ang gateway ng WebVPN na nagtatapos ng TLS, at ang konteksto kasama ang patakaran ng grupo na may hawak ng authentication at mga setting ng session. Kapag may nakaligtaan, pareho ang hitsura ng pagpalya mula sa labas.

Ang halimbawa ng configuration ng Cisco IOS SSL VPN, na binuo sa IOS 15.3 kasama ng AnyConnect 3.1, ay kapaki-pakinabang dahil eksaktong inihihiwalay nito ang mga bagay na iyon. Basahin ito bilang paglalarawan ng lumang implementasyong iyon, hindi bilang rekomendasyon na i-deploy ang mga bersyong iyon.

Una, ang pakete: ano ito at ano ito hindi

Ang pakete sa headend ay nagbibigay ng software ng kliyente para sa isang platform. Hindi ito ang profile ni ang listener, at isang file na nakalagay sa flash ay nagpapatunay lamang na may nag-upload ng isang bagay. Hindi nito pinatutunayan na may session na gumamit nito, na tugma ang platform sa device ng user, o na tinutukoy ito ng gateway.

Tiyakin ang eksaktong filename, ang platform na target nito at kung saan ito itinuturo ng configuration. Walang sinasabi ang pakete para sa Windows tungkol sa mga telepono, at ang na-upload na file na hindi binabanggit ng anumang bagay sa gateway ay imbakan, hindi configuration. Ang paketeng tugma sa platform pero hindi kailanman iniuugnay sa serbisyo ay hindi iaalok sa sinumang user. Gayundin ang isa na ang filename ay naiiba sa halagang inaasahan ng configuration.

Ikalawa, ang profile: mga setting, hindi software

Ang opsyonal na profile ng kliyente ay may dalang mga setting na inihahanda ng administrator nang hiwalay, tulad ng mga listahan ng server o mga kagustuhan ng kliyente. Karaniwang napagkakamalang installer ito dahil parehong dumarating bilang mga file na may magkatulad na pangalan. Kung inaasahan ng deployment ang isang profile, ang kawalan nito ay nagbabago sa ginagawa ng kliyente pagkatapos kumonekta, hindi kung nakakakonekta ito.

Ilista ang dalawang artefact at itala kung alin talaga ang tinutukoy ng gateway. Ang nag-iisang linyang iyon ay pumipigil sa isang klase ng mga support ticket kung saan dalawang tao ang nag-uusap tungkol sa magkaibang file.

Ikatlo, ang listener at ang pagkakakilanlan ng TLS

Tinutukoy ng bagay sa gateway ang address at port na naaabot ng labas at ang certificate na ipinapakita sa handshake. Ang browser na umaabot sa portal page, ang kliyenteng nakatatapos ng authentication, at ang application na umaabot sa pribadong server ay tatlong magkakahiwalay na obserbasyon, at ang una lamang ang pagsubok sa listener. Kapag pumalya ang handshake, wala pang mahalaga sa anumang nasa ibaba, kaya tiyakin ang certificate chain at ang pangalan bago baguhin ang anumang patakaran.

Isulat saanman ang inaasahang pagkakakilanlan. Ang na-renew o napalitang certificate ang pinakamadalas na dahilan kung bakit ang deployment na gumana noong nakaraang buwan ay tumitigil ngayong buwan.

Ikaapat, ang konteksto at patakaran kasama ang virtual template nito

Iniuugnay ng konteksto at patakaran ng grupo ang authentication sa pag-uugali ng session: address pool, split routes, DNS, at kung aling mga panloob na network ang naaabot ng user. Iniugnay ng dokumentadong halimbawa ang konteksto nito sa isang virtual template na nagbibigay ng pag-uugali ng interface sa bawat session, at umiiral ang mga bagay sa panig ng server nang hiwalay sa anumang idinodownload ng user.

Kapag nag-authenticate ang user pero wala siyang naaabot, kadalasan dito ang sira, hindi sa kliyente. Ihambing ang pool, ang mga rutang ibinigay sa kliyente at ang ACL na nagpapahintulot ng pasulong na trapiko, at suriin ang mga ito laban sa iniuulat ng user, hindi laban sa intensyon ng disenyo.

Suriin nang sunod-sunod at huminto sa unang pagpalya

Daanan ang apat na bahagi sa ayos na nakakasalubong sila ng koneksyon: listener, authentication, patakaran, pagkatapos ang pag-uugali ng kliyente. Tiyakin ang TLS gamit ang inaasahang pagkakakilanlan, i-authenticate ang isang account na kilalang maayos, basahin ang itinalagang address at mga ruta mula sa session, at pagkatapos lamang ihambing ang platform ng kliyente sa pakete. Ang paghinto sa unang pagpalya ay nagpapanatili ng isang variable lamang sa laro, at iyon ang pagkakaiba ng pagkukumpuni sa hula.

Para sa telepono o sinumang kliyente sa labas ng makasaysayang halimbawa ng desktop na iyon, kunin ang tunay na suportadong kontrata ng kliyente at gateway sa halip na ipagpalagay na ang daloy sa Windows ay naglalahat. Ang pagpapalit ng hinihiling na protocol ay hindi gagawing ganitong serbisyo ng SSL VPN ang isang profile ng IKEv2, at ang pag-install ng pakete para sa desktop ay walang pinatutunayang anuman tungkol sa suporta sa mobile.