Qadimgi IOS SSL VPN: paket, profil, shlyuz, sessiya

Router flesh xotirasida mijoz o'rnatuvchisini topib, SSL VPN sozlangan deb xulosa qilasiz. Bu to'rt komponentdan bittasi xolos, qolgan uchtasi esa kimdir ulana oladimi-yo'qmi ekanini hal qiladi. Qadimgi IOS SSL VPN da bo'laklar alohida obyektlardir: bosh uchidagi mijoz paketi, ixtiyoriy mijoz profili, TLS ni tugatuvchi WebVPN shlyuzi hamda autentifikatsiya va sessiya sozlamalarini saqlovchi kontekst va guruh siyosati. Bittasini o'tkazib yuborsangiz, nosozlik tashqaridan bir xil ko'rinadi.

IOS 15.3 va AnyConnect 3.1 asosida qurilgan Cisco IOS SSL VPN konfiguratsiyasi namunasi aynan shu obyektlarni alohida saqlagani uchun foydali. Uni o'sha eski amalga oshirishning tavsifi sifatida o'qing, o'sha versiyalarni joriy qilish tavsiyasi sifatida emas.

Birinchidan, paket: u nima va nima emas

Bosh uchidagi paket bitta platforma uchun mijoz dasturiy ta'minotini beradi. U na profil, na tinglovichi, va flesh xotirada yotgan fayl faqat kimdir nimadir yuklaganini isbotlaydi. U biron sessiya undan foydalanganini, platforma foydalanuvchi qurilmasiga mos kelishini yoki shlyuz unga umuman havola qilishini isbotlamaydi.

Faylning aniq nomini, u mo'ljallangan platformani va konfiguratsiya qayerda unga ishora qilishini tasdiqlang. Windows paketi telefonlar haqida hech narsa demaydi, va hech bir shlyuz obyekti tilga olmagan yuklangan fayl konfiguratsiya emas, ombor. Platformaga mos keladigan, ammo xizmat bilan hech qachon bog'lanmagan paket hech bir foydalanuvchiga taklif qilinmaydi. Fayl nomi konfiguratsiya kutgan qiymatdan farq qiladigani ham shunday.

Ikkinchidan, profil: dastur emas, sozlamalar

Ixtiyoriy mijoz profili administrator alohida tayyorlaydigan sozlamalarni olib yuradi, masalan serverlar ro'yxati yoki mijoz afzalliklari. Uni o'rnatuvchi bilan aralashtirish odatiy hol, chunki ikkisi ham o'xshash nomli fayl sifatida keladi. Agar joriy etish profilni kutsa, uning yo'qligi mijoz ulangandan keyin nima qilishini o'zgartiradi, umuman ulanadimi-yo'qmi ekanini emas.

Ikkala artefaktni ro'yxatga oling va shlyuz aslida qaysi biriga havola qilishini yozib qo'ying. Shu bitta satr ikki kishi turli fayllar haqida gaplashadigan qo'llab-quvvatlash murojaatlari sinfini oldini oladi.

Uchinchidan, tinglovichi va TLS identifikatsiyasi

Shlyuz obyekti tashqi dunyo yetib boradigan manzil va portni hamda qo'l berib ko'rishish paytida taqdim etiladigan sertifikatni belgilaydi. Portal sahifasiga yetib boradigan brauzer, autentifikatsiyani tugatadigan mijoz va xususiy serverga yetib boradigan dastur uch xil kuzatuvdir va faqat birinchisi tinglovichi sinovidir. Qo'l berib ko'rishish muvaffaqiyatsiz bo'lsa, quyidagi hech narsa hali muhim emas, shuning uchun har qanday siyosatni tahrirlashdan oldin sertifikatlar zanjirini va nomni tekshiring.

Kutilayotgan identifikatsiyani qayerdadir yozib qo'ying. Yangilangan yoki almashtirilgan sertifikat o'tgan oy ishlagan joriy etishning bu oy ishlamay qolishining eng ko'p uchraydigan sababidir.

To'rtinchidan, kontekst va uning virtual shabloni bilan siyosat

Kontekst va guruh siyosati autentifikatsiyani sessiya xatti-harakatiga bog'laydi: manzillar hovuzi, bo'lingan marshrutlar, DNS va foydalanuvchi qaysi ichki tarmoqlarga yeta olishi. Hujjatlashtirilgan namuna kontekstini har bir sessiya uchun interfeys xatti-harakatini beruvchi virtual shablonga bog'laydi va bu server tomonidagi obyektlar foydalanuvchi yuklab oladigan hech narsadan mustaqil mavjud.

Foydalanuvchi autentifikatsiyadan o'tib, hech qayerga yeta olmasa, nosozlik odatda mijozda emas, shu yerda bo'ladi. Hovuzni, mijozga berilgan marshrutlarni va keyingi trafikni ruxsat etuvchi ACL ni solishtiring va ularni dizayn mo'ljallagan narsa bilan emas, foydalanuvchi xabar bergan narsa bilan tekshiring.

Tartib bilan tekshiring va birinchi nosozlikda to'xtang

To'rt komponentdan ulanish ularni uchratadigan tartibda o'ting: tinglovichi, autentifikatsiya, siyosat, so'ngra mijoz xatti-harakati. TLS ni kutilayotgan identifikatsiya bilan tasdiqlang, ma'lum yaxshi hisobni autentifikatsiyadan o'tkazing, sessiyadan berilgan manzil va marshrutlarni o'qing va shundan keyingina mijoz platformasini paket bilan solishtiring. Birinchi nosozlikda to'xtash o'yinda bitta o'zgaruvchini saqlaydi va tuzatish bilan taxmin o'rtasidagi farq shu.

Telefon yoki o'sha tarixiy ish stoli namunasidan tashqaridagi har qanday mijoz uchun Windows jarayoni umumlashtiriladi deb o'ylash o'rniga haqiqatan qo'llab-quvvatlanadigan mijoz va shlyuz shartnomasini oling. So'ralgan protokolni o'zgartirish IKEv2 profilini bu SSL VPN xizmatiga aylantirmaydi va ish stoli paketini o'rnatish mobil qo'llab-quvvatlash haqida hech narsani isbotlamaydi.