Slegs-PCF VPN-profiel: wat om te vra voordat jy migreer

Iemand gee jou 'n .pcf-lêer en 'n skootrekenaar en verwag dat die verbinding presies werk soos jare gelede. Gewoonlik werk dit nie, en die lêerformaat is selde die rede. 'n PCF teken die parameters aan wat 'n ou Cisco VPN Client nodig gehad het om een spesifieke konsentrator te bereik; dit sê niks daaroor of 'n huidige kliënt nog met daardie diens kan praat nie. Die lêer is bewys van 'n vorige verbinding, nie 'n kontrak vir die volgende een nie.

Om daardie bewys van die vereistes te skei, is die hele taak. Wat die eienaar van die gateway aan jou verskuldig is, is 'n ondersteunde kombinasie van kliënt, protokol, verifikasiemetode en profielformaat, wat 'n ander vraag is as of een of ander toepassing jou ou profiel sal oopmaak.

Wat die lêer in jou hand werklik aanteken

'n PCF is 'n klein profiel van verbindingsinskrywings: 'n gasheer of 'n primêre en rugsteunpaar, 'n groepnaam en wenke oor hoe die kliënt geloofsbriewe moet voorlê. Dit bevat geen protokolonderhandeling, geen vertrouensbesluit en geen verklaring oor die gateway se huidige vermoëns nie. Om dit te lees, vertel jou waarheen die ou kliënt geskakel het en onder watter groepnaam, en daardie deel is werklik nuttige konteks vir elkeen wat die hoofpunt besit.

Wat dit jou nie kan vertel nie, is of die diens agter daardie gasheernaam nog dieselfde protokol aanvaar, of die rekening in 'n vorm voortbestaan wat by die wenke pas. Daardie antwoorde woon op die gateway en in die identiteitsbewaarplek, so vra daar voordat jy bou.

Drie vereistes wat soos een lyk

Die eerste vereiste is draadversoenbaarheid: die kliënt moet die afstandstoegangsprotokol implementeer wat die gateway termineer. Die tweede is verifikasie, waar die metode wat die gateway eis — hetsy sertifikaat, groepsgeloofsbrief plus MFA, of EAP — een moet wees wat die kliënt werklik kan uitvoer. Die derde is beleid, dit wil sê split-tunneling, DNS, adrespoele en enige postuurkontroles, alles op die gateway opgestel en aan die kliënt gelewer in 'n profiel wat dit moet aanvaar.

'n PCF bied swak bewyse oor die tweede vereiste en in wese geen oor die ander twee nie. 'n Invoerfunksie vervaag die grens verder: 'n kliënt wat ou velde in sy eie formaat karteer, kan daarin slaag om in te voer terwyl dit nie kan verbind nie, en die omgekeerde is ook moontlik.

Vyf vrae wat 'n bruikbare antwoord lewer

Stuur vrae eerder as die lêer. Watter kombinasie van afstandstoegangsdiens en kliënt word vandag ondersteun; watter protokol daardie diens aan die internet voorlê; watter verifikasiemetode en inskrywingspad geld; watter profiel, vertrouensankers en groep- of MFA-beleid daarmee saam hoort; en watter dele van die ou verbinding verskil. Elke antwoord karteer na een van die drie vereistes hierbo.

Daardie lys verander 'n bespreking oor lêerformate in 'n besluit oor ondersteuning, en dit lewer gewoonlik 'n dokumentasieskakel en 'n genoemde eienaar in plaas van 'n skouerophaling. Dit vertel jou ook vroeg of die migrasie 'n nuwe profiel teen 'n bestaande diens is, of 'n gateway-verandering wat nog niemand geskeduleer het nie. Vra skriftelik, want die antwoorde word die aanvaardingskriteria vir wat jy volgende bou. Hou die ou groepnaam ook in die kaartjie, want dit is dikwels die vinnigste manier vir die operateur om die passende beleid te vind.

Hernoeming vertaal niks

Cisco Secure Client dokumenteer XML-profiele met sy eie protokolkeuses, so om 'n .pcf na .xml te hernoem lewer nóg XML nóg instellings. Om 'n gasheernaam in 'n OpenVPN-lêer te plak maak nie 'n IPsec-gateway laat OpenVPN praat nie, en 'n inheemse IKEv2-kliënt word nie versoenbaar met 'n ouer diens bloot omdat albei as IPsec beskryf word nie.

Elkeen van daardie skuiwe verander 'n etiket en laat die draaggedrag onaangeraak, daarom lyk die gevolglike mislukking onverwant aan die wysiging. Wanneer die gateway nie kan bied wat die nuwe kliënt implementeer nie, is die eerlike opsies 'n kliënt wat nog die ou protokol praat of 'n beplande gateway-migrasie. Om tussen hulle te raai kos weke en leer niks.

Behandel die ou profiel as sensitiewe materiaal

'n Ou profiel kan 'n interne gasheernaam, 'n groepnaam en soms gestoorde geloofsbriefmateriaal bevat, wat presies die vorm van ding is wat publieke omsetters en forumdraadversamel. Laat 'n administrateur die velde deur 'n goedgekeurde kanaal lees eerder as om die lêer enige plek op te laai.

Weerstaan die versoeking om die migrasie te laat hang op 'n beta-kliënt, 'n onondersteunde gassisteem of swakker verifikasie wat gekies is om 'n verouderde kliënt aan die lewe te hou. Ou pryse en aflaaisblaaie is geen beter bewyse as die PCF self nie, want hulle beskryf 'n reg uit 'n ander era eerder as die kontrak wat jy nou nodig het.