Застарілий IOS SSL VPN: пакет, профіль, шлюз, сесія

Ви знаходите інсталятор клієнта у flash-пам’яті маршрутизатора і робите висновок, що SSL VPN налаштований. Це лише один компонент із чотирьох, а решта три вирішують, чи зможе хтось підключитися. У застарілому IOS SSL VPN частини — це окремі об’єкти: клієнтський пакет головного вузла, необов’язковий профіль клієнта, шлюз WebVPN, що завершує TLS, і контекст разом із груповою політикою, де зберігаються параметри автентифікації та сесії. Пропустіть одну — і ззовні збій виглядає однаково.

Приклад конфігурації Cisco IOS SSL VPN, зібраний на IOS 15.3 з AnyConnect 3.1, корисний саме тим, що тримає ці об’єкти окремо. Читайте його як опис тієї старішої реалізації, а не як рекомендацію розгортати ті версії.

По-перше, пакет: що це і чим він не є

Пакет головного вузла постачає клієнтське програмне забезпечення для однієї платформи. Він не є ні профілем, ні прослуховувачем, а файл, що просто лежить у flash, доводить лише те, що хтось щось завантажив. Він не доводить, що сесія колись його використовувала, що платформа відповідає пристрою користувача або що шлюз на нього взагалі посилається.

Перевірте точну назву файлу, платформу, для якої він призначений, і те, куди конфігурація на нього вказує. Пакет для Windows нічого не каже про телефони, а завантажений файл, який не згадує жоден об’єкт шлюзу, — це сховище, а не конфігурація. Пакет, що відповідає платформі, але ніколи не пов’язаний із сервісом, не буде запропонований жодному користувачеві. Як і той, чия назва файлу відрізняється від значення, якого очікує конфігурація.

По-друге, профіль: налаштування, а не програмне забезпечення

Необов’язковий профіль клієнта несе налаштування, які адміністратор готує окремо, наприклад списки серверів або вподобання клієнта. Плутати його з інсталятором звично, бо обидва надходять як файли зі схожими назвами. Якщо розгортання очікує профіль, його відсутність змінює те, що клієнт робить після підключення, а не те, чи підключається він узагалі.

Перелічіть обидва артефакти і зафіксуйте, на який із них шлюз справді посилається. Цей єдиний рядок запобігає цілому класу звернень до підтримки, де двоє людей обговорюють різні файли.

По-третє, прослуховувач та ідентичність TLS

Об’єкт шлюзу визначає адресу й порт, яких досягає зовнішній світ, і сертифікат, що пред’являється під час рукостискання. Браузер, що доходить до сторінки порталу, клієнт, що завершує автентифікацію, і застосунок, що доходить до приватного сервера, — це три різні спостереження, і лише перше є перевіркою прослуховувача. Коли рукостискання не вдається, усе подальше ще не має значення, тому перевірте ланцюжок сертифікатів і ім’я, перш ніж редагувати будь-яку політику.

Запишіть очікувану ідентичність десь. Оновлений або замінений сертифікат — найчастіша причина, чому розгортання, яке працювало минулого місяця, перестає працювати цього.

По-четверте, контекст і політика з її віртуальним шаблоном

Контекст і групова політика пов’язують автентифікацію з поведінкою сесії: пул адрес, розділені маршрути, DNS і те, яких внутрішніх мереж користувач може досягти. У задокументованому прикладі контекст приєднано до віртуального шаблону, що задає поведінку інтерфейсу для кожної сесії, і ці серверні об’єкти існують незалежно від того, що завантажує користувач.

Коли користувач автентифікується, але нічого не досягає, несправність зазвичай тут, а не в клієнті. Порівняйте пул, маршрути, видані клієнтові, і ACL, що дозволяє подальший трафік, і звіряйте їх із тим, що повідомляє користувач, а не з тим, що задумав проєкт.

Перевіряйте по черзі й зупиняйтеся на першій помилці

Пройдіть чотири компоненти в тому порядку, у якому їх зустрічає з’єднання: прослуховувач, автентифікація, політика, потім поведінка клієнта. Підтвердьте TLS з очікуваною ідентичністю, автентифікуйте свідомо справний обліковий запис, прочитайте видані адресу й маршрути із сесії й лише після цього порівняйте платформу клієнта з пакетом. Зупинка на першій помилці тримає в грі одну змінну, і це різниця між ремонтом і здогадом.

Для телефона або будь-якого клієнта поза тим історичним прикладом для настільного комп’ютера отримайте справжній договір підтримуваного клієнта і шлюзу, а не припускайте, що робочий процес Windows узагальнюється. Зміна запитаного протоколу не перетворить профіль IKEv2 на цей сервіс SSL VPN, а встановлення настільного пакета нічого не доводить про підтримку мобільних пристроїв.