Bir VPN xidməti Windows, Mac və Linux masüstü kompüterlərini əhatə edə bilərmi?

Bir komandada üç noutbuk, üç fərqli VPN menyusu və Mac-dan başqa hər yerdə bağlantının işlədiyini bildirən bir bilet. O müştərilərin arxasındakı plan menyular fərqli olsa da eyni ola bilər. Uyğunlaşmalı olan şey əksər tətbiqlərin güman etdiyindən dardır: bir şlüz identifikasiyası, bir etimad növü, bir marşrut dəsti və bir həlledici siyasəti. Hər hansı profil ixrac etməzdən əvvəl bu dördünü yazın, platforma işi araşdırmaya deyil, yoxlama siyahısına çevrilsin.

Müştəri faylı ilə deyil, giriş müqaviləsi ilə başlayın

Giriş müqaviləsi rəyçinin satıcı konsolunu açmadan yoxlaya biləcəyi beş sətirdir. O, ad çəkir əlçatan olmalı olan özəl prefiksləri, həll olunmalı daxili adları, onlara cavab verən həlledicini, yerli yolda qalmasına icazə verilən trafiki və müştərinin görməsini gözlədiyi şlüz sertifikatını. Yerləşdirmədə qalan hər şey bu sətirlərin fayl formatına tərcüməsidir.

Ofis nümunəsi forması konkretləşdirir: 10.60.0.0/16 daxilində tətbiq serverləri, corp.example altında özəl adlar, 10.61.0.53 ünvanında daxili həlledici və cihazın artıq istifadə etdiyi yolda qalan adi gəzinti. Sonuncu bənd müştəri defoltu deyil, siyasət qərarıdır və kimsə əksini deməzsə, bir neçə müştəri hər şeyi tuneldən keçirəcək. Müqaviləni tarix və sahiblə qeyd edin, çünki sonradan tunelin dəyişdiyini və ya siyasətin dəyişdiyini sizə bildirəcək qeyd elə həmin qeyddir.

Müdafiə edə biləcəyiniz bir protokol və bir autentifikasiya cütü seçin

Sertifikat əsaslı şlüz autentifikasiyası və istifadəçi üçün EAP ilə IKEv2, hər üç platformanın əlavə proqram olmadan işləməli olduğu halda adi seçimdir, çünki Windows, macOS və NetworkManager hər biri IKEv2 müştərisi ilə gəlir. Problem odur ki, IKEv2 dəstəyi xüsusiyyətlər dəsti deyil, etiket təsvir edir. EAP üsulları, aparat dəstəkli açarlar, sertifikatın hesaba bağlanması və avtomatik yenidən qoşulma hər platformada ayrıca həyata keçirilir. Üçdən ikisində işləyən birləşmə o qədər geniş yayılıb ki, sınaqdan keçirənə qədər bunu güman etməlisiniz.

Cütü yerləşdirmə təlimatı yazılmadan əvvəl hər hədəf platformada sınaqdan keçirin, sonra deyil. Həm EAP-MSCHAPv2, həm də EAP-TLS təklif edən şlüz geri çəkilmək üçün sizə yer verir, bir şərtlə ki, geri çəkilmə hadisə zamanı aşkar edilməsin, dəstəklənən kimi sənədləşdirilsin. İki dəstəklənən yol ucuz sığortadır; sənədləşdirilməmiş üçüncü yol gələcək bilet deməkdir.

Heç bir cüt üç müştərinin hamısını əhatə etmədikdə, dürüst seçimlər müştəri əlavə etmək, şlüz profili əlavə etmək və ya dəstəklənən platformalar siyahısını daraltmaqdır. Ən çox şikayət edən platformada sertifikat yoxlamasını söndürmək bunlardan biri deyil. Bu dəyişiklik uyğunluq boşluğunu müdaxilə riskinə çevirir və yerləşdirmənin heç bir sonrakı addımı onu bərpa etmir.

Müqavilədən hər platforma üçün bir artefakt qurun

Windows VPNv2 profili alır: MDM ilə verilir və ya Add-VpnConnection və onun XML yükü ilə yerli olaraq yaradılır. Ağrıdan hissə əhatə dairəsi və etimaddır. Cihaz əhatəli profil və istifadəçi əhatəli profil fərqli anbarlara quraşdırılır, buna görə müştərinin ehtiyac duyduğu sertifikat seçdiyiniz əhatəyə uyğun anbarda olmalıdır. Bu cütlüyü səhv salmaq təmiz idxal olunan, sonra ilk qoşulmada uğursuz olan profil yaradır.

macOS idarə olunan VPN yükü olan konfiqurasiya profili alır: imzalanıb MDM vasitəsilə göndərilir və ya pilot üçün əl ilə quraşdırılır. Kimlik və CA zənciri ayrı yüklər kimi səyahət edir, buna görə profil şikayətsiz quraşdırıla və yenə də qoşulma zamanı uğursuz ola bilər. Yüklər siyahısını yoxlayın, yalnız quraşdırma nəticəsini deyil.

Linux NetworkManager arxasındakı backenddən asılıdır və strongSwan ilə NetworkManager plagini ayrı paketlərdir. Bağlantı xassələri ümumi VPN açarları deyil, plaginə xasdır, buna görə başqa plagindən kopyalanmış açar çox vaxt xətasız yadda saxlanılır, sonra aktivləşdirmədə uğursuz olur. Plaginin həqiqətən işləyəcəyi yerdə olduğunu təsdiqləmək üçün bağlantını təmiz obrazda qurun.

Üç artefakt format baxımından fərqlənir, lakin hər biri eyni beş müqavilə sətrini kodlaşdırır. Artefaktın bitib-bitmədiyinin sınağı budur: hər sətir haradasa təmsil olunur və yolda əlavə heç nə uydurulmayıb.

Marşrutları, həlledicini və yenidən qoşulmanı təmiz hesabda yoxlayın

Qoşulma qəbul sınağı deyil. Windows-da Get-VpnConnection profili göstərir və route print özəl prefiksin tunel interfeysinə düşüb-düşmədiyini göstərir. macOS-da scutil --nc list aktiv xidməti təsdiqləyir, scutil --dns isə sistemin həqiqətən istifadə edəcəyi həlledici sırasını göstərir.

Linux-da nmcli connection show --active bağlantının qalxdığını sübut edir, resolvectl status isə hər keçid üzrə DNS-i göstərir. Bağlantı faylında olan, lakin hər keçid çıxışında olmayan həlledici bölünmüş DNS-in tətbiq edilmədiyini bildirir. Bu, adların həll olunması ilə adların tuneldən həll olunması arasındakı fərqdir və növbəti addımın hansı dəstək komandasına aid olduğunu dəyişir. Hər keçid çıxışını bağlantı qalxmadan əvvəl və sonra müqayisə edin, yalnız sonra deyil.

Bütün yoxlamanı keşlənmiş etimad məlumatları və administrator tərəfindən quraşdırılmış sertifikat olmayan təzə hesabla keçirin. Sonra yuxuya getmə və oyanmadan sonra, bir də etimad məlumatlarının yenidən daxil edilməsini məcbur etdikdən sonra təkrarlayın. Bu iki keçid ilk bağlantının heç vaxt göstərmədiyi yenidən qoşulma nasazlıqlarının çoxunu üzə çıxarır.

Paketi versiyalaşdırın və geri qaytarma yolu saxlayın

Hər platforma paketini həyata keçirdiyi müqavilə revizyonu ilə etiketləyin və onu hansı müştəri və şlüz versiyalarına qarşı qəbul etdiyinizi qeyd edin. Müştəri yeniləməsindən sonra davranış dəyişdikdə, etiket təxmin ediləcək fayla deyil, yenidən sınaqdan keçiriləcək müqaviləyə işarə edir.

Hər platforma üçün əvvəlki paketi əlçatan saxlayın və silmə əmrini onun yanına yazın. VPN profilinin silinməsi onun Windows, macOS və ya Linux-da quraşdırılmasının güzgü əksi deyil və fərqlər ən pis anda üzə çıxır. Silməni bir dəfə ehtiyat cihazda məşq edin ki, arxiv ümidə deyil, plana çevrilsin.