İstifadəçinin ilk VPN bağlantısından əvvəl nələr əvvəlcədən qurulmalıdır

İlk VPN bağlantısı nadir hallarda tuneldə pozulur. O, adi bir istifadəçi idarə olunmayan şəbəkədə sertifikatı artıq quraşdırmış birinin yazdığı təlimata əməl edəndə pozulur. Profil, etimad zənciri və etimadnamə konfiqurasiyadır və hər üçü istifadəçi işə qoşulmadan əvvəl çatdırıla bilər. Həmin istifadəçiyə qalan şey içində qərar olmayan dörd hərəkət olmalıdır. Təhvil vermədə buraxdığınız hər əlavə addım, kimsənin dialoq pəncərəsini ucadan oxuması ilə başlayan bir dəstək zənginə çevrilir.

Bağlantı profili həqiqətdə nə daşıyır

VPN profili qısayol və ya əlfəcin deyil. O, əməliyyat sisteminin bağlantı anbarında adlı obyektdir: server ünvanı, tunel növü, autentifikasiya üsulu və çox vaxt nə vaxt qoşulacağını müəyyən edən marşrutlar, DNS şəkilçiləri və tetikleme qaydaları. Windows-da bu sahələr VPNv2 konfiqurasiya xidməti təminatçısı qovşaqlarına uyğun gəlir, buna görə də bir profil Intune, Configuration Manager, quraşdırma paketi və ya əl ilə idxal edilmiş XML faylı vasitəsilə gələ bilər.

Klient bu obyekti sabit sıra ilə tətbiq edir: server sertifikatını etibarlı köklərə qarşı yoxlayır, tuneli razılaşdırır və yalnız bundan sonra proqram şəbəkəni görməzdən əvvəl marşrutlama və ad həllini tətbiq edir. Bu sıra qoşulduğunu bildirən, amma heç nəyin yüklənmədiyi halların çoxunu izah edir: autentifikasiya keçib, DNS və ya marşrut siyahısı uğursuz olub. Profili ayrı-ayrı açarlar dəsti kimi deyil, ardıcıllığı olan bir obyekt kimi oxuyun. Çatışmayan etimad kökü ilk addımda, heç bir etimadnamə təqdim edilməmişdən əvvəl pozulur, buna görə də daxil olma sorğusu əvəzinə ümumi xəta verir.

Etimad materialı ən çox əl ilə gizlicə gətirilən sahədir. Şlüzü imzalayan CA sertifikatı ilk cəhddən əvvəl mövcud olmalı, server adı yoxlaması isə uyğun adla açıq qalmalıdır; testi keçirmək üçün yoxlamanı söndürmək autentifikasiya problemini heç bir istifadəçinin aşkar edə bilməyəcəyi səssiz tutmaya çevirir.

İstifadəçilərin heç vaxt verməməli olduğu dörd seçim

Protokol və tunel növü birinci gəlir: platforma üzrə bir dəstəklənən kombinasiya seçin və şlüz tərəfini sənədləşdirin, çünki tanış brend adı uyğunluq bəyanatı deyil. Sonrakı nöqtə bir host adıdır ki, açıq şəkildə həll olunur və şlüzün təqdim etdiyi sertifikata uyğun gəlir. Autentifikasiya kimlik sisteminə aiddir: istər sertifikat, istər ikinci faktorlu istifadəçi adı, istərsə də hər ikisi. Bunların heç biri istifadəçi seçimi deyil və heç biri təlimatlarda sual kimi görünməməlidir.

Dördüncü seçim əhatədir: tam tunel və ya bölünmüş tunel və onun içində hansı prefikslərin və DNS şəkilçilərinin getdiyi. Daxili şəkilçiləri olmayan bölünmüş tunel ad həllini yerli şəbəkənin təklif etdiyi hər hansı həllediciyə sızdırır, yerli resurs planı olmayan tam tunel isə printerləri və qonaq giriş portallarını pozur. Hər ikisi istifadəçiyə görünən nəticələri olan administrator qərarlarıdır, buna görə də istifadəçi onları artıq həll edilmiş şəkildə almalıdır.

Bağlantı adını darıxdırıcı və sabit saxlayın. İstifadəçilər onu dəstəyə ucadan oxuyur, klient siyahısında axtarır və parol sıfırlamaları arasında xatırlayır; miqrasiya ortasında adını dəyişmək VPN-in işləyib-işləməməsi ilə heç bir əlaqəsi olmayan dəstək artımı yaradır.

Kimliyi adambaşına və ya cihazbaşına çatdırın

Profil açıqdır, şəxsi açar isə deyil. Yayğın bir yerləşdirmə səhvi bir işlək profili sertifikatı ilə birlikdə eksport edib faylı əldən-ələ ötürməkdir; bu, hər noutbuku bir kimliyin klonuna çevirir və ləğvi hər şey-ya-heç nə qərarına gətirir. Bunun əvəzinə etimadnamələri dəstəklənən proseslə qeydiyyatdan keçirin: idarəetmə kanalından cihazbaşına sertifikat və ya kimlik təminatçısından istifadəçibaşına etimadnamə.

Cihaz tunelləri və istifadəçi tunelləri fərqli anlarda autentifikasiya edir və bu fərq hansı etimadnaməyə ehtiyacınız olduğunu müəyyən edir. Daxil olmadan əvvəl qoşulan cihaz tuneli maşın sertifikatı və sistem üçün mövcud profil tələb edir. Daxil olduqdan sonra başlayan istifadəçi tuneli istifadəçinin öz etimadnaməsindən istifadə edə bilər və administrator hüquqları tələb etməməlidir. Səhər bir klik çıxarmaq üçün maşın səviyyəsində şəbəkə girişi əlavə etmək pis mübadilədir, çünki nəzarətsiz cihazın çata bildiyi yeri genişləndirir.

Qeydiyyat həm də bərpa yolunun müəyyən edildiyi yerdir. Sertifikatın yenilənməsi və ya parol dəyişikliyi tunel bağlı ikən cihaza çatmalıdır, ona görə də təchizat, kimlik təminatçısı və şlüz bunun necə baş verəcəyi barədə razılaşmalıdır; əgər profili təmir etməyin yeganə yolu həmin profilin təmin etdiyi tuneldirsə, açar qutunun içində bağlanıb.

Çatdırılma kanalını klientə uyğunlaşdırın

Yerli və üçüncü tərəf klientləri fərqli çatdırılır. Windows profilləri Intune və ya Configuration Manager vasitəsilə VPNv2 ProfileXML kimi verilə bilər, lakin hər qovşaq hər idarəetmə səthində açıq deyil və marşrutlama, DNS və tetikleme parametrləri alətə və Windows versiyasına görə dəyişir. Sıfır toxunuşlu yerləşdirmə vəd etməzdən əvvəl hansı sahənin yerləşdirilə bildiyini təsdiqləyin, çünki profil seçimləri arayışı bəzi çatdırılma yollarının hələ də qura bilmədiyi parametrləri sənədləşdirir.

Satıcı klientləri ikinci təbəqə əlavə edir, çünki binar, profil və başlıq siyasəti ayrı artefaktlardır. Məsələn, Cisco Secure Client həm paketin, həm də profilinin əvvəlcədən yerləşdirilməsini dəstəkləyir və klient versiyası şlüz konfiqurasiyası ilə əlaqələndirilməlidir; yalnız paketi quraşdırmaq istifadəçini sehrbazda qoyur.

Hansı kanalı seçsəniz də, profil üçün bir həqiqət mənbəyi saxlayın. Daha köhnə paketin növbəti yoxlamada üzərinə yazdığı təmir edilmiş profil təkrarlanan hadisədir və davamlı həll hər maşında əl düzəlişi deyil, versiyalanmış konfiqurasiyadır.

Təhvili yeni istifadəçi kimi sınayın, sonra bərpanı sınayın

Heç vaxt qoşulmamış cihazda adi hesabla, administratorun yadda saxlanmış sessiyası və əvvəlcədən qeydiyyatdan keçmiş sertifikatı olmadan pilot keçirin. Profilin siyahıda göründüyünü, daxil olma sorğusunun təlimata uyğun olduğunu və adlı daxili resursun açıldığını təsdiqləyin, sonra qoşulmuş ikonada dayanmaq əvəzinə ad həllini və marşrut əhatəsini yoxlayın.

Test təəssürat deyil, sübut yaratsın deyə cihazın profil anbarını sorğulayın.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Sonra istifadəçilərin həqiqətən qarşılaşdığı hadisələri gəzin: məcburi parol sıfırlaması, yenilənmiş sertifikat, ötürülmüş klient yeniləməsi və pilotda heç kimin istifadə etmədiyi şəbəkə. Hər biri ya işləməli, ya da təlimatların təsvir etdiyi şəkildə pozulmalıdır. VPN portunu bloklayan şəbəkəni də sınayın, çünki otel Wi-Fi-da ilk cəhd evdəki uğurun köməyi dayandırdığı yerdir. Hər nəticənin yanında klient versiyasını və OS buraxılışını yazın, çünki növbəti hesabat onlarsız gələcək.

İstifadəçiyə baxan təhvili dörd sətirdə saxlayın: bağlantı adı, gözlənilən daxil olma, uğuru sübut edən resurs və xəta mətninin hara göndəriləcəyi. Heç kimdən uğursuzluğu nümayiş etdirmək üçün parol və ya eksport edilmiş açar istənilməməlidir. Arxivitektura, profilin daxili və bərpa proseduru administratorun runbook-una aiddir və sınandıqları klient versiyasının yanında saxlanılır.