Watter VPN-protokolle verstaan jou bedryfstelsel reeds?

Voordat jy nog 'n kliënt aflaai, kyk wat die bedryfstelsel reeds implementeer, want die antwoord is dikwels genoeg om die installeerder heeltemal oor te slaan. Windows, macOS en ChromeOS lewer elkeen 'n vaste, kort lys tonnelprotokolle, en 'n poort wat een daarvan verstaan, het geen bykomende drywer, diens of opdateringsroete nodig nie. Wat dit bepaal is nie die verskaffernaam op die brosjure nie. Dit is die protokol, hoe die eindpunt verifieer, en watter adres dit verwag.

Vra vir die protokol, nie die produknaam nie

'n Produknaam sê baie min oor wat oor die draad gaan. Twee poorte wat onder dieselfde etiket verkoop word, kan heeltemal verskillende tonnels vereis, en een kan 'n ingeboude kliënt aanvaar terwyl die ander enigiets behalwe sy eie portaal weier. Twee administrateurs wat dieselfde kas beskryf, kan verskil en albei reg wees, want hulle beskryf verskillende lae. Die tonnel onderlangs is wat bepaal of 'n installeerder nodig is.

Stel drie vrae aan wie ook al die poort bestuur: watter tonnelprotokol, watter verifikasiemetode, en watter adres en DNS-agtervoegsel die kliënt moet aanvaar. Vra die protokol by die naam, en wanneer die antwoord as 'n produknaam terugkom, verduidelik waarom jy die protokol nodig het. Daardie drie antwoorde beslis die kliëntvraag voordat enige sagteware afgelaai word.

Daar is 'n rede waarom die produknaam in so baie kaartjies bly voortleef. Die portaal-URL is wat gebruikers sien, en die tonnel is onsigbaar terwyl dit werk. Om die protokol in die oorhandigingsnota te skryf kos een reël en verwyder die dubbelsinnigheid vir almal wat later kom.

Waar die ingeboude lys ophou

Die inheemse lyste is kort, en hul rande maak meer saak as hul inhoud. 'n Platform wat L2TP oor IPsec met 'n vooraf gedeelde sleutel gebruik, sal nie SSTP praat nie, en daardie verskil beslis die kliënt. Die tabel is volgens tonnel gerangskik, nie volgens verskaffer nie, so jy kan die protokol opsoek wat die poort genoem het.

Lees die rooster teen die poort se vereistes, nie teen 'n brosjure nie. As die antwoord L2TP oor IPsec met 'n vooraf gedeelde sleutel is, koppel die eerste drie platforms sonder enigiets ekstra geïnstalleer. As die antwoord OpenVPN is, is net ChromeOS gedek voordat jy enigiets installeer. 'n Protokol wat in geen ingeboude kolom verskyn nie, is die eerlike teken dat 'n installeerder op pad is.

Linux is die kolom wat veralgemening weerstaan. Die protokolondersteuning daarvan woon in daemons en inproppe wat die verspreiding kies om te verpak, so 'n minimale beeld kan nie een daarvan praat voordat jy hulle byvoeg nie, en twee verspreidings met dieselfde werkskerm kan verskil.

Bou die profiel vanaf 'n opdragreël

Alles wat die grafiese paneel skryf, word êrens gestoor waar jy dit kan bereik, en dit is wat 'n ingeboude profiel outomatiseerbaar maak. Windows hou VPN-inskrywings in .pbk lêers onder die gebruikersprofiel en onder ProgramData, en rasphone kan inskrywings lys en wysig wat die netwerklys nie wys nie. Dit maak saak wanneer 'n masjien deur 'n skrip ingerig word en niemand deur 'n towenaar sal klik nie. Dit verduidelik ook hoe 'n profiel kan bestaan sonder om ooit in die systaakbalk te verskyn.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Om 'n .pbk lêer met die hand te wysig werk, en dit is ook die vinnigste manier om een te beskadig, so laat die gereedskap die formaat besit. macOS hou sy dienste in die stelselkonfigurasie, en networksetup spreek hulle aan by diensnaam; verskeie vlae wil 'n adres hê eerder as 'n gasheernaam, so los die eindpunt eers op en stoor die waarde wat die kliënt werklik sal gebruik. Daardie onderskeid byt tydens outomatisering, want 'n skrip wat met 'n adres werk, kan met 'n naam misluk, en die fout lyk soos 'n stukkende poort eerder as 'n verkeerde argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Diensname is gelokaliseer en deur die gebruiker wysigbaar, so 'n skrip wat Wi-Fi hardkodeer, breek op die eerste masjien wat op 'n ander taal gestel is. Lees die naam uit die lysopdrag en gee dit deur eerder as om te raai.

Sertifikate sonder 'n eie kliënt

Sommige ontplooiings het 'n kliëntsertifikaat nodig en niks anders eie nie, en dit is die middelgeval wat die moeite werd is om te toets voordat jy 'n drywer aanvaar. Om 'n sertifikaat in die platform se stoor te plaas, word ondersteun; dit is nie dieselfde daad as om 'n verskafferwortel in te gooi en die kliënt te vertrou dat dit dit sal vind nie. Die eerste is 'n doelbewuste plasing; die tweede is 'n raaiskoot met 'n ondersteuningskaartjie aangeheg.

Die detail wat mense vang, is watter stoor die kliënt lees. 'n Sertifikaat in die gebruikerstoor is onsigbaar vir 'n kliënt wat vir die masjienstoor opgestel is, en die boodskap wat jy kry sê die sertifikaat ontbreek eerder as dat dit op die verkeerde plek sit. Kontroleer albei store voordat jy tot die gevolgtrekking kom dat die sertifikaat verkeerd is. Skryf neer watter een die werkende konfigurasie gebruik, want daardie nota oorleef die sertifikaat wanneer die masjien herbou word.

Windows skei die twee store eksplisiet, en macOS skei die aanmeld-sleutelring van die stelselsleutelring. Die name verskil, maar die foutmodus is identies: 'n geldige sertifikaat waarna die kliënt nooit kyk nie.

Wat 'n installeerder afdwing

Sommige poorte bind die kliënt aan 'n private sertifikaatstoor, 'n postuur-agent, of 'n aanmeldingsruil wat die bedryfstelsel nie kan uitvoer nie. Ontplooiings wat op Check Point-, Cisco- of Fortinet-hardeware gebou is, beland dikwels daar, en in dié is die ingeboude kliënt nie 'n kortpad nie. 'n Derde-partyvervanging kan koppel en steeds die beleid oortree, wat dit 'n sekuriteitsbesluit maak eerder as 'n geriefsbesluit. Installeer wat die beleid vereis en teken die rede langs die installeerderweergawe aan.

Daardie rekord is die deel wat mense oorslaan en die deel wat die volgende administrateur 'n week spaar: protokol, verifikasiemetode, adresfamilie en vereiste agtervoegsel, met een reël regverdiging vir elke binêre lêer wat bygevoeg moes word. Sit dit waar die installeerdernotas woon eerder as in 'n kletsdraad. Twee reëls dokumentasie voorkom 'n herhaalde ondersoek.