Di chuyển VPN: giấy phép, tính năng và chính sách trong một hồ sơ

Những phiên vẫn hoạt động trên thiết bị tập trung cũ trông như bằng chứng rằng việc di chuyển gần xong. Nhưng chúng chỉ là một mục trong bản kiểm kê, và là mục kém thú vị nhất. Điều việc chuyển cần là một hồ sơ nối cổng đích, ứng dụng khách được hỗ trợ, quyền đã mua và chính sách tiếp nhận được áp dụng thành một thứ duy nhất mà ai đó sở hữu. Không có nó, việc di chuyển chỉ là một chuỗi giả định mà mỗi cái riêng lẻ đều có vẻ hợp lý.

Bốn Cột, Không Phải Một Danh Sách Kiểm Tra

Phần cứng chịu được gì, hợp đồng cho phép gì và bộ quy tắc cho phép gì là ba câu hỏi riêng biệt, và trộn chúng lại tạo ra một kế hoạch không ai có thể kiểm toán. Hãy giữ chúng trong các cột riêng và yêu cầu mỗi cột dẫn nguồn của mình. Một thiết bị chấp nhận kết nối chứng minh rằng thiết bị có thể kết nối, và điều đó không giải thích gì về phạm vi tính năng hay cơ sở đếm. Ba cột mâu thuẫn nhau hữu ích hơn nhiều so với một đoạn văn nghe có vẻ tự tin.

Hồ sơ hoàn tất khi cả bốn cột được điền bởi người có quyền điền. Một cột do sai người sở hữu ký là tin đồn có ghi ngày.

Nền tảng và Quyền

Ghi lại cổng được hỗ trợ, hệ điều hành của ứng dụng khách, đường xác thực và công cụ quản trị. Đừng giữ một ứng dụng khách lỗi thời còn sống chỉ vì hồ sơ cũ của nó vẫn mở, vì hồ sơ đó là một tuyên bố tương thích mà nhà cung cấp có thể không còn bảo đảm. Đối chiếu tuyên bố hỗ trợ hiện tại với bản phát hành bạn định triển khai.

Với quyền, hãy ghi lại sản phẩm, loại giấy phép, thời hạn và cơ sở đếm, rồi đối soát qua chủ tài khoản. Suy ra quyền từ một bộ đếm phiên trong quá khứ là cách một tổ chức phát hiện thiếu hụt sau khi chuyển chứ không phải trước đó.

Các hướng dẫn đặt hàng của nhà cung cấp cho thấy vì sao những khác biệt này quan trọng. Ví dụ, hướng dẫn đặt hàng Secure Client của Cisco tách các bậc Advantage, Premier và VPN Only, mỗi bậc có thước đo và phạm vi tính năng riêng. Hãy dùng thỏa thuận hiện hành thay vì dịch máy móc một nhãn cũ.

Tính năng và Chính sách Áp dụng

Liệt kê những năng lực mà việc triển khai thực sự cần: chế độ đường hầm được phép, đánh giá thiết bị, tích hợp xác thực và bất kỳ mô-đun nào khác. Kiểm tra hỗ trợ và quyền cho từng thứ một cách riêng biệt, vì một tính năng có thể được hỗ trợ nhưng không có giấy phép, hoặc có giấy phép nhưng không được hỗ trợ trên bản phát hành đã chọn. Chỉ hàng trả lời có cho cả hai câu hỏi mới được tính.

Khi đích là một ASA, cột tính năng được đọc từ chính thiết bị chứ không từ hợp đồng, nên hãy chụp lại cổng trước ngày chuyển. show vpn-sessiondb summary cho bản kiểm kê phiên đang hoạt động và các con số dùng để đo quyền của bạn, show vpn-sessiondb detail anyconnect cho thấy mỗi phiên được quy cho đã thực sự dùng loại ứng dụng khách và hồ sơ nào, và show running-config webvpn ghi lại cấu hình cổng mà các phiên đó phụ thuộc, và đây là phần duy nhất của hồ sơ mà không tài liệu giấy phép nào có thể chứa.

show vpn-sessiondb summary
show vpn-sessiondb detail anyconnect
show running-config webvpn

Sau khi chuyển, chạy lại ba lệnh đó trên cổng mới và so sánh với các bản sao đã chụp. Số phiên thay đổi là điều dự kiến; một loại ứng dụng khách hoặc một khối webvpn xuất hiện ở một bên mà không ở bên kia chính là phát hiện, và nó thuộc về hồ sơ kèm giải thích chứ không phải bình luận phiếu. Lưu cả bản chụp thô lẫn khác biệt, vì người đánh giá tiếp theo sẽ muốn thấy cái gì đã được so sánh. Với nhà cung cấp khác, thứ tương đương là bảng phiên và bản xuất hồ sơ của nền tảng đó, ở định dạng sẽ không khớp, nên hãy so sánh các câu hỏi đặt ra cho nó chứ không phải văn bản.

Sau đó ánh xạ người dùng và thiết bị vào quy tắc của đích, quyền tài nguyên và hành vi từ chối. Một giấy phép cho phép một tính năng không phải là cấu hình thực thi nó, và khoảng trống giữa hai thứ đó là nơi trú ngụ của phần lớn bất ngờ khi di chuyển.

Viết các trường hợp từ chối cẩn thận như các trường hợp được phép. Một kế hoạch chỉ chứng minh rằng quản trị viên có thể kết nối đã thử con đường dễ nhất và không thử ranh giới nào.

Chấp nhận ở Cả Hai Phía của Quyết định

Trước khi chuyển, chạy một kế hoạch chấp nhận đã được phê duyệt trên các loại ứng dụng khách dự kiến, phương thức xác thực và tài nguyên. Bao gồm một thiết bị hoặc danh tính buộc phải bị từ chối, và xác nhận quy tắc nào đã chọn nó cũng như phiên tạo ra có thể chạm tới đâu. Thống nhất các trường hợp từ chối trước khi cửa sổ thay đổi mở ra, để không ai có thể lặng lẽ bỏ chúng dưới áp lực thời gian. Một kế hoạch không có trường hợp từ chối chỉ thử con đường thuận lợi và không gì khác.

Giữ một đường quay lui và một tuyến quản trị không phụ thuộc vào thứ đang được di chuyển. Bảo quản cấu hình và hồ sơ danh tính một cách an toàn, và để lại phía sau các thiết lập mật mã lỗi thời thay vì mang chúng theo. Không bao giờ dán mã định danh giấy phép hoặc hồ sơ người dùng vào ghi chú công khai.

Để chủ sở hữu ký cả quyền và ánh xạ chính sách cùng lúc. Hồ sơ hoàn chỉnh trả lời hai câu hỏi một lần: tổ chức được cấp phép triển khai những gì, và những quy tắc nào thực sự tiếp nhận và ràng buộc người dùng của tổ chức.