SSL VPN IOS đời cũ: gói, hồ sơ, cổng, phiên

Bạn tìm thấy bộ cài máy khách trên flash của router và kết luận rằng SSL VPN đã được cấu hình. Đó chỉ là một trong bốn thành phần, và ba thành phần còn lại quyết định có ai kết nối được hay không. Trên SSL VPN IOS đời cũ, các mảnh là những đối tượng riêng biệt: gói máy khách ở đầu trung tâm, hồ sơ máy khách tùy chọn, cổng WebVPN kết thúc TLS, cùng ngữ cảnh và chính sách nhóm giữ cấu hình xác thực và phiên. Thiếu một mảnh là lỗi nhìn từ bên ngoài vẫn giống hệt nhau.

Ví dụ cấu hình Cisco IOS SSL VPN, được dựng trên IOS 15.3 với AnyConnect 3.1, hữu ích chính vì nó tách riêng những đối tượng đó. Hãy đọc nó như mô tả của triển khai cũ đó, không phải như khuyến nghị triển khai những phiên bản ấy.

Thứ nhất, gói: nó là gì và không là gì

Gói ở đầu trung tâm cung cấp phần mềm máy khách cho một nền tảng. Nó không phải hồ sơ cũng không phải bộ lắng nghe, và một tệp nằm trên flash chỉ chứng minh rằng ai đó đã tải lên thứ gì đó. Nó không chứng minh rằng có phiên nào từng dùng nó, rằng nền tảng khớp với thiết bị của người dùng, hay rằng cổng có tham chiếu tới nó.

Hãy xác nhận tên tệp chính xác, nền tảng mà nó nhắm tới và nơi cấu hình trỏ tới nó. Một gói Windows không nói gì về điện thoại, và một tệp đã tải lên mà không đối tượng cổng nào nhắc tới chỉ là nơi lưu trữ, không phải cấu hình. Một gói khớp nền tảng nhưng không bao giờ được gắn với dịch vụ sẽ không được cung cấp cho người dùng nào. Cũng vậy với gói có tên tệp khác giá trị mà cấu hình mong đợi.

Thứ hai, hồ sơ: là cấu hình đặt sẵn, không phải phần mềm

Hồ sơ máy khách tùy chọn mang những thiết lập mà quản trị viên chuẩn bị riêng, chẳng hạn danh sách máy chủ hoặc tùy chọn máy khách. Nhầm nó với bộ cài là chuyện thường vì cả hai đều đến dưới dạng tệp có tên tương tự. Nếu việc triển khai mong đợi một hồ sơ, việc thiếu nó thay đổi điều máy khách làm sau khi kết nối, chứ không phải việc nó có kết nối được hay không.

Hãy kiểm kê cả hai thành phần và ghi lại cổng thực sự tham chiếu cái nào. Một dòng đó ngăn được cả một nhóm phiếu hỗ trợ trong đó hai người đang nói về hai tệp khác nhau.

Thứ ba, bộ lắng nghe và danh tính TLS

Đối tượng cổng xác định địa chỉ và cổng mà thế giới bên ngoài tiếp cận, cùng chứng chỉ được trình bày trong quá trình bắt tay. Trình duyệt tới trang cổng thông tin, máy khách hoàn tất xác thực và ứng dụng tới một máy chủ riêng là ba quan sát riêng biệt, và chỉ quan sát đầu tiên là phép thử bộ lắng nghe. Khi bắt tay thất bại, mọi thứ phía sau vẫn chưa quan trọng, nên hãy kiểm tra chuỗi chứng chỉ và tên trước khi sửa bất kỳ chính sách nào.

Hãy ghi lại danh tính mong đợi ở đâu đó. Chứng chỉ được gia hạn hoặc thay thế là lý do phổ biến nhất khiến một triển khai chạy được tháng trước nay ngừng chạy.

Thứ tư, ngữ cảnh và chính sách cùng mẫu ảo của nó

Ngữ cảnh và chính sách nhóm gắn xác thực với hành vi của phiên: nhóm địa chỉ, tuyến tách, DNS và những mạng nội bộ mà người dùng có thể tới. Ví dụ được ghi lại gắn ngữ cảnh của nó với một mẫu ảo cung cấp hành vi giao diện cho từng phiên, và những đối tượng phía máy chủ ấy tồn tại độc lập với bất cứ thứ gì người dùng tải về.

Khi người dùng xác thực được nhưng không tới được gì, lỗi thường nằm ở đây chứ không phải ở máy khách. Hãy so sánh nhóm địa chỉ, các tuyến cấp cho máy khách và ACL cho phép lưu lượng đi tiếp, rồi đối chiếu với điều người dùng báo cáo chứ không phải với điều thiết kế dự định.

Kiểm tra theo thứ tự và dừng ở lỗi đầu tiên

Hãy đi qua bốn thành phần theo thứ tự mà một kết nối gặp chúng: bộ lắng nghe, xác thực, chính sách, rồi đến hành vi máy khách. Xác nhận TLS với danh tính mong đợi, xác thực một tài khoản đã biết là tốt, đọc địa chỉ và tuyến được cấp từ phiên, và chỉ sau đó mới so sánh nền tảng của máy khách với gói. Dừng ở lỗi đầu tiên giữ lại một biến duy nhất trong cuộc, và đó là khác biệt giữa sửa chữa và phỏng đoán.

Với điện thoại hoặc bất kỳ máy khách nào nằm ngoài ví dụ máy tính để bàn lịch sử đó, hãy lấy hợp đồng máy khách và cổng thực sự được hỗ trợ thay vì giả định quy trình Windows là tổng quát. Đổi giao thức được yêu cầu sẽ không biến một hồ sơ IKEv2 thành dịch vụ SSL VPN này, và việc cài một gói máy tính để bàn không chứng minh gì về hỗ trợ di động.