Firebox geojoylashuv rad etishi: avval VPN kirish bosqichini toping

Boshqa davlatdagi odam ulanmayapti, va birinchi fikr ichki resurslarga kirish beradigan qoidaga qarash bo'ladi. Bu qoida qabuldan keyin ishlaydi, shuning uchun tunnelni rad etayotgan narsa u bo'lishi mumkin emas. Bloklaydigan bosqich kirish yo'lining bir joyida, va VPN xizmatiga qarab Fireboxda bir nechta kirish yo'li bor. Tekshiruvlarni tartib bilan bajaring va ulardan biri rad etishni tushuntirgan zahoti to'xtang.

Tekshiruv 1: kiruvchi xizmatni nomlang

SSL bilan Mobile VPN, Access Portal va TLS ustidagi BOVPN uchun kiruvchi kirish WatchGuard SSLVPN siyosatidir. Mo'ljallangan cheklovni o'sha yerda, amalda sozlangan xizmatda qo'llang; keyinroq ishlaydigan foydalanuvchi kirish qoidasidan xulosa chiqarmang.

IPsec boshqa yo'lni tutadi. O'rnatilgan IPSec siyosati tegishli branch va mobil VPN xizmatlari uchun tashqi IPsec trafigini Fireboxga kiritishga ruxsat beradi va qo'lda yaratilgan IPSec siyosatidan ustun turadi. Mijozingiz IKEv2 bo'lsa, siz o'sha ikkinchi yo'ldasiz va SSLVPN siyosati ahamiyatsiz.

Bu yerda xato qilish bu sohada eng ko'p behuda ketgan tushdan keyin: paketni hech qachon ko'rmaydigan siyosatni tahrirlash, keyin cheklov ishlamaydi degan xulosaga kelish.

Tekshiruv 2: nazariyani emas, rad etishni o'qing

Bitta nazorat qilinadigan ruxsat etilgan urinish qiling va to'rt narsani bog'lang: mijozning ommaviy manba manzili, u tegib ketgan kirish xizmati, mos kelgan siyosat va jurnaldagi har qanday Deny sababi. WatchGuardning IKEv2 nosozliklarni tuzatish bo'yicha yo'riqnomasi geojoylashuv va standart paket ishlovi trafikni o'rnatilgan siyosat qabulidan oldin rad etishi mumkinligini qayd etadi, ya'ni siz ko'rayotgan rad etish siz ko'rib chiqmagan bosqichni nomlashi mumkin.

Mamlakat tasnifi kuzatilgan tarmoq manbasiga ergashadi. Roumingdagi foydalanuvchi, yuqoridagi NAT yoki boshqa tasdiqlangan yo'l Firebox ko'radigan narsani o'zgartirishi mumkin, shuning uchun manzilni tasdiqlang, foydalanuvchining qayerdaligi haqidagi ta'rifini emas. Mijoz ko'radigan ommaviy manzilni so'rang va uni Firebox jurnalidagi manba bilan solishtiring. Ular farq qilsa, tasnif hech kim tilga olmagan yo'lga ergashmoqda.

Tekshiruv 3: o'rnatilgan siyosat hali ham egasimi?

Agar qo'lda yaratilgan IPSec siyosati e'tiborsiz qoldirilayotgandek tuyulsa, o'rnatilgani hali ham yoqilganini tekshiring. Yuqori ustuvorlikdagi o'rnatilgan qoida soyasida qolgan qo'lda qoida va yagona qabul bo'lgan qo'lda qoida bir xil ko'rinadigan interfeysga ega turli konfiguratsiyalardir.

Qaysi biri yo'lga ega bo'lishini xohlayotganingizni hal qiling. Agar bu qo'lda siyosat bo'lsa, o'sha trafik uchun o'rnatilganini o'chirish kerak, va keyingi tekshiruv aynan shu yerda boshlanadi.

Tekshiruv 4: o'chirishdan oldin almashtirishni rejalashtiring

O'rnatilgan IPSec siyosatini o'chirish ta'sirlangan VPN xizmatlari uchun uning qabulini olib tashlaydi. Bu bitta mobil foydalanuvchining ulanishini tuzatayotganda o'ylamaydigan branch tunnellarini ham qamrab oladi.

Avval to'liq almashtirishni rejalashtiring: qaysi xizmatlarga qabul kerak, ular qanday manba doiralarini oladi va o'zgarish noto'g'ri ketsa qurilmani qanday boshqarasiz. Mustaqil boshqaruv va tiklash yo'lini ochiq tuting, chunki bu yerdagi xato uni tuzatish uchun ishlatadigan tunnelingizni olib tashlashi mumkin. Tiklash qadamlarini o'zgarish yozuviga yozing, jumladan VPN yo'li yo'q bo'lsa qurilmaga qanday yetib borishni ham. Keyin faqat birinchi ulanishni emas, yangilanishni ham sinab ko'ring.

Faol ulanish va keyingi qayta kelishuv ikkalasi ham qabulga bog'liq bo'lishi mumkin. Sinab ko'rgan sessiyangizda ishlab, keyingi kalit almashinuvida muvaffaqiyatsiz bo'lgan o'zgarish qabulni yangilanishni sinamasdan almashtirishning klassik natijasidir.

Tekshiruv 5: shaxsni joylashuvdan alohida tuting

Geojoylashuv kirish qaroriga kontekst qo'shadi. U foydalanuvchining kimligini aniqlamaydi va shlyuz shaxs tekshiruvlari, hisob avtorizatsiyasi yoki MFAni almashtirmasligi kerak.

Agar biznes talabi faqat tasdiqlangan joylardan tasdiqlangan foydalanuvchilar bo'lsa, ikkala nazorat ham kerak. Butun mamlakatni qabul qiladigan joylashuv qoidasi autentifikatsiya o'rnini bosmaydi, va bloklangan mamlakatdagi autentifikatsiyadan o'tgan foydalanuvchi xato emas, siyosat masalasidir.

Tekshiruv 6: uni yozib oling va ikkala yo'lni tekshiring

Xizmatni, kirish siyosatini, mo'ljallangan joylashuv doirasini, istisnolar va tiklash egasini yozing. Keyin o'zgarishdan so'ng mobil yo'lni va kamida bitta sayt yo'lini sinab ko'ring, toki cheklov u nazorat qilish uchun mo'ljallangan xizmatga bog'lanib qolsin.

Nihoyat, boshlagan rad etishingizni qayta o'qing. Agar u joylashuv rad etishidan autentifikatsiya yoki avtorizatsiya xatosiga aylangan bo'lsa, kirish muammosi hal qilindi va endi boshqasi ko'rinadi. WatchGuardning IKEv2 rad etishi bo'yicha yo'riqnomasi yuqorida tavsiflangan bosqichlar tartibi uchun havoladir.