Firebox coğrafi konum reddi: önce VPN giriş aşamasını bulun

Başka bir ülkedeki biri bağlanamıyor ve ilk içgüdü, iç kaynaklara erişim veren kurala bakmak oluyor. O kural kabul işleminden sonra çalışır, dolayısıyla tüneli reddeden şey o olamaz. Engelleyen aşama giriş yolunun bir yerindedir ve Firebox'ın VPN hizmetine bağlı olarak birden fazla giriş yolu vardır. Kontrolleri sırayla yapın ve biri reddi açıkladığı anda durun.

Kontrol 1: gelen hizmeti adlandırın

SSL'li Mobile VPN, Access Portal ve TLS üzerinden BOVPN için gelen giriş WatchGuard SSLVPN ilkesidir. Amaçlanan kısıtlamayı orada, gerçekte yapılandırılmış hizmet üzerinde uygulayın; daha sonra çalışan bir kullanıcı erişim kuralından çıkarım yapmayın.

IPsec farklı bir yol izler. Yerleşik IPSec ilkesi, ilgili branch ve mobil VPN hizmetleri için dış IPsec trafiğinin Firebox'a gelmesine izin verir ve elle oluşturulmuş bir IPSec ilkesine göre önceliklidir. İstemciniz IKEv2 ise bu ikinci yoldasınız ve SSLVPN ilkesi konu dışıdır.

Burada hata yapmak, bu alanda en sık boşa giden öğleden sonradır: paketi hiç görmeyen bir ilkeyi düzenleyip sonra kısıtlamanın çalışmadığı sonucuna varmak.

Kontrol 2: teoriyi değil, reddi okuyun

Kontrollü ve izinli tek bir deneme yapın ve dört şeyi ilişkilendirin: istemcinin genel kaynak adresi, isabet ettiği giriş hizmeti, eşleşen ilke ve günlükteki herhangi bir Deny nedeni. WatchGuard'ın IKEv2 sorun giderme kılavuzu, coğrafi konum ve varsayılan paket işlemenin trafiği yerleşik ilke kabulünden önce reddedebileceğini belirtir; bu da gördüğünüz reddin, düşünmediğiniz bir aşamayı adlandırabileceği anlamına gelir.

Ülke sınıflandırması gözlenen ağ kaynağını izler. Dolaşan bir kullanıcı, üst akıştaki bir NAT veya farklı bir onaylı yol Firebox'ın gördüğünü değiştirebilir, bu yüzden kullanıcının nerede olduğuna dair anlatımını değil adresi doğrulayın. İstemcinin gördüğü genel adresi isteyin ve Firebox günlüğündeki kaynakla karşılaştırın. Bunlar farklıysa sınıflandırma kimsenin söz etmediği bir yolu izliyordur.

Kontrol 3: yerleşik ilke hâlâ sahibi mi?

Elle oluşturulmuş bir IPSec ilkesi yok sayılıyor gibi görünüyorsa, yerleşik olanın hâlâ etkin olup olmadığını kontrol edin. Daha yüksek öncelikli yerleşik bir kural tarafından gölgelenen elle yapılmış kural ile tek kabul olan elle yapılmış kural, aynı görünen arayüze sahip farklı yapılandırmalardır.

Hangisinin yola sahip olmasını istediğinize karar verin. Elle yapılmış ilke ise, yerleşik olanın o trafik için devre dışı bırakılması gerekir ve sonraki kontrol tam orada başlar.

Kontrol 4: devre dışı bırakmadan önce yerine koymayı planlayın

Yerleşik IPSec ilkesini devre dışı bırakmak, etkilenen VPN hizmetleri için onun kabulünü kaldırır. Bu, bir mobil kullanıcının bağlantısını düzeltirken düşünmediğiniz branch tünellerini de kapsar.

Önce tam yerine koymayı planlayın: hangi hizmetlerin kabul gerektirdiğini, hangi kaynak kapsamlarını alacaklarını ve değişiklik ters giderse cihazı nasıl yöneteceğinizi. Bağımsız bir yönetim ve kurtarma yolu açık tutun, çünkü buradaki bir hata düzeltmek için kullanacağınız tüneli kaldırabilir. Kurtarma adımlarını değişiklik kaydına yazın; VPN yolu yoksa cihaza nasıl ulaşacağınız da dahil. Sonra yalnızca ilk bağlantıyı değil, yenilemeyi de test edin.

Etkin bağlantı ve sonraki yeniden anlaşma, ikisi de kabule bağlı olabilir. Test ettiğiniz oturumda çalışıp bir sonraki anahtar değişiminde başarısız olan bir değişiklik, kabulü yenilemeyi test etmeden değiştirmenin klasik sonucudur.

Kontrol 5: kimliği konumdan ayrı tutun

Coğrafi konum, giriş kararına bağlam ekler. Kullanıcının kim olduğunu ortaya koymaz ve ağ geçidi kimlik kontrollerinin, hesap yetkilendirmesinin veya MFA'nın yerini almamalıdır.

İş gereksinimi yalnızca onaylı yerlerden onaylı kullanıcılar ise, iki kontrole de ihtiyacınız var. Bütün bir ülkeyi kabul eden bir konum kuralı kimlik doğrulamanın yerine geçmez ve engellenen bir ülkedeki kimliği doğrulanmış kullanıcı bir hata değil, ilke sorusudur.

Kontrol 6: kaydedin ve iki yolu da doğrulayın

Hizmeti, giriş ilkesini, amaçlanan konum kapsamını, istisnaları ve kurtarma sahibini yazın. Sonra değişiklikten sonra mobil yolu ve en az bir site yolunu test edin ki kısıtlama, denetlemek üzere tasarlandığı hizmete bağlı kalsın.

Son olarak, başladığınız reddi yeniden okuyun. Konum reddinden kimlik doğrulama veya yetkilendirme hatasına dönüştüyse, giriş sorunu çözülmüştür ve artık başka bir sorun görünür. WatchGuard'ın IKEv2 reddi kılavuzu, yukarıda anlatılan aşama sıralaması için referanstır.