Eski IOS SSL VPN: paket, profil, ağ geçidi, oturum

Yönlendiricinin flash belleğinde bir istemci kurulum dosyası bulup SSL VPN yapılandırılmış diye sonuca varıyorsunuz. Bu, dört bileşenden yalnızca biri ve geri kalan üçü kimsenin bağlanıp bağlanamayacağını belirliyor. Eski IOS SSL VPN'de parçalar ayrı nesnelerdir: baş uçtaki istemci paketi, isteğe bağlı istemci profili, TLS'i sonlandıran WebVPN ağ geçidi ve kimlik doğrulama ile oturum ayarlarını tutan bağlam ve grup ilkesi. Birini atlarsanız arıza dışarıdan aynı görünür.

IOS 15.3 ve AnyConnect 3.1 üzerine kurulu Cisco IOS SSL VPN yapılandırma örneği, tam da bu nesneleri ayrı tuttuğu için yararlıdır. Onu o eski uygulamanın tarifi olarak okuyun, o sürümleri devreye alma önerisi olarak değil.

Birincisi, paket: ne olduğu ve ne olmadığı

Baş uç paketi tek bir platform için istemci yazılımı sağlar. Ne profildir ne dinleyici ve flash içinde duran bir dosya yalnızca birinin bir şey yüklediğini kanıtlar. Bir oturumun onu hiç kullandığını, platformun kullanıcının cihazıyla eşleştiğini veya ağ geçidinin ona hiç atıfta bulunduğunu kanıtlamaz.

Tam dosya adını, hedeflediği platformu ve yapılandırmanın ona nerede işaret ettiğini doğrulayın. Windows paketi telefonlar hakkında hiçbir şey söylemez ve hiçbir ağ geçidi nesnesinin sözünü etmediği yüklenmiş dosya yapılandırma değil depolamadır. Platformla eşleşen ama hizmetle hiç ilişkilendirilmeyen bir paket hiçbir kullanıcıya sunulmaz. Dosya adı yapılandırmanın beklediği değerden farklı olan da öyle.

İkincisi, profil: yazılım değil ayarlar

İsteğe bağlı istemci profili, yöneticinin ayrıca hazırladığı sunucu listeleri veya istemci tercihleri gibi ayarları taşır. Onu kurulum dosyasıyla karıştırmak yaygındır çünkü ikisi de benzer adlara sahip dosyalar olarak gelir. Dağıtım bir profil bekliyorsa, eksikliği istemcinin bağlandıktan sonra ne yaptığını değiştirir, bağlanıp bağlanmadığını değil.

Her iki artefaktı da envanterleyin ve ağ geçidinin gerçekte hangisine atıfta bulunduğunu kaydedin. O tek satır, iki kişinin farklı dosyaları konuştuğu bir destek kaydı sınıfını önler.

Üçüncüsü, dinleyici ve TLS kimliği

Ağ geçidi nesnesi, dış dünyanın ulaştığı adresi ve bağlantı noktasını, el sıkışma sırasında sunulan sertifikayı tanımlar. Portal sayfasına ulaşan bir tarayıcı, kimlik doğrulamayı tamamlayan bir istemci ve özel bir sunucuya ulaşan bir uygulama üç ayrı gözlemdir ve yalnızca birincisi bir dinleyici testidir. El sıkışma başarısız olduğunda akışın aşağısındaki hiçbir şey henüz önemli değildir, bu yüzden herhangi bir ilkeyi düzenlemeden önce sertifika zincirini ve adı doğrulayın.

Beklenen kimliği bir yere yazın. Yenilenen veya değiştirilen bir sertifika, geçen ay çalışan bir dağıtımın bu ay çalışmayı bırakmasının en sık nedenidir.

Dördüncüsü, bağlam ve sanal şablonlu ilke

Bağlam ve grup ilkesi kimlik doğrulamayı oturum davranışına bağlar: adres havuzu, ayrık yollar, DNS ve kullanıcının erişebileceği iç ağlar. Belgelenen örnek, bağlamını her oturum için arayüz davranışı sağlayan bir sanal şablona bağlar ve bu sunucu tarafı nesneler kullanıcının indirdiği hiçbir şeyden bağımsız olarak vardır.

Kullanıcı kimlik doğrulamasından geçip hiçbir yere ulaşamıyorsa hata genellikle istemcide değil buradadır. Havuzu, istemciye verilen yolları ve ileri trafiğe izin veren ACL'yi karşılaştırın ve onları tasarımın amaçladığıyla değil, kullanıcının bildirdiğiyle kontrol edin.

Sırayla doğrulayın ve ilk hatada durun

Dört bileşeni bir bağlantının onlarla karşılaştığı sırayla gezdirin: dinleyici, kimlik doğrulama, ilke, ardından istemci davranışı. TLS'i beklenen kimlikle doğrulayın, bilinen iyi bir hesabı kimlik doğrulamasından geçirin, oturumdan atanan adresi ve yolları okuyun ve ancak ondan sonra istemcinin platformunu paketle karşılaştırın. İlk hatada durmak oyunda tek bir değişken tutar ve onarım ile tahmin arasındaki fark budur.

O tarihsel masaüstü örneğinin dışındaki bir telefon veya herhangi bir istemci için Windows akışının genelleşeceğini varsaymak yerine gerçekten desteklenen istemci ve ağ geçidi sözleşmesini edinin. İstenen protokolü değiştirmek bir IKEv2 profilini bu SSL VPN hizmetine dönüştürmez ve masaüstü paketi kurmak mobil desteğe dair hiçbir şey kanıtlamaz.