Профіль VPN толькі з PCF: што спытаць перад пераходам

Хтосьці дае вам файл .pcf і ноўтбук і чакае, што злучэнне будзе працаваць гэтак жа, як некалькі гадоў таму. Звычайна гэтага не адбудзецца, і фармат файла рэдка бывае прычынай. PCF запісвае параметры, якія стары Cisco VPN Client патрабаваў для доступу да аднаго канкрэтнага канцэнтратара; ён нічога не кажа пра тое, ці можа сучасны кліент яшчэ размаўляць з гэтым сэрвісам. Файл — гэта сведчанне мінулага злучэння, а не дагавор на наступнае.

Аддзяліць гэтае сведчанне ад патрабаванняў — і ёсць уся задача. Уласнік шлюза вінен вам падтрымліваемую камбінацыю кліента, пратакола, метаду аўтэнтыфікацыі і фармату профілю, і гэта іншае пытанне, чым тое, ці адкрые нейкая праграма ваш стары профіль.

Што насамрэч запісвае файл у вашай руцэ

PCF — гэта невялікі профіль з запісаў злучэння: хост або пара асноўнага і рэзервовага, назва групы і падказкі пра тое, як кліент павінен прад'яўляць уліковыя даныя. Ён не ўтрымлівае ні перамоваў пра пратакол, ні рашэння пра давер, ні заявы пра бягучыя магчымасці шлюза. Чытанне кажа вам, куды і пад якой назвай групы звяртаўся стары кліент, і гэтая частка сапраўды карысны кантэкст для таго, хто адказвае за галаўны вузел.

Чаго ён не можа сказаць, дык гэта ці прымае сэрвіс за гэтым імем хоста той самы пратакол і ці захоўваецца ўліковы запіс у форме, што адпавядае падказкам. Гэтыя адказы жывуць на шлюзе і ў сховішчы ідэнтычнасці, таму спытайце там перад тым, як будаваць.

Тры патрабаванні, якія выглядаюць як адно

Першае патрабаванне — сумяшчальнасць на ўзроўні сеткі: кліент павінен рэалізоўваць пратакол аддаленага доступу, які завяршае шлюз. Другое — аўтэнтыфікацыя, дзе метад, якога патрабуе шлюз (сертыфікат, уліковыя даныя групы плюс MFA ці EAP), павінен быць такім, які кліент сапраўды можа выканаць. Трэцяе — палітыка: раздзелены тунель, DNS, пулы адрасоў і любыя праверкі стану, усё наладжана на шлюзе і перададзена кліенту ў профілі, які ён абавязаны прыняць.

PCF дае слабое сведчанне пра другое патрабаванне і практычна ніякага пра два іншыя. Функцыя імпарту яшчэ больш размывае мяжу: кліент, які пераносіць старыя палі ў свой фармат, можа паспяхова імпартаваць і пры гэтым не змагчы падключыцца, і адваротнае таксама магчыма.

Пяць пытанняў, якія даюць прыдатны адказ

Дасылайце пытанні, а не файл. Якая камбінацыя сэрвісу аддаленага доступу і кліента падтрымліваецца сёння; які пратакол гэты сэрвіс паказвае ў інтэрнэт; які метад аўтэнтыфікацыі і шлях рэгістрацыі дзейнічаюць; які профіль, давяральныя карані і палітыка групы або MFA да іх належаць; і якія часткі адрозніваюцца ад старога злучэння. Кожны адказ адпавядае аднаму з трох патрабаванняў вышэй.

Гэты спіс ператварае размову пра фарматы файлаў у рашэнне пра падтрымку і звычайна вяртае спасылку на дакументацыю і названага адказнага замест паціску плячыма. Ён таксама рана паведамляе, ці пераход — гэта новы профіль супраць існуючага сэрвісу, ці змена шлюза, якую яшчэ ніхто не запланаваў. Пытайцеся пісьмова, бо адказы становяцца крытэрыямі прыёмкі для таго, што вы зробіце далей. Трымайце ў заяўцы і старую назву групы, бо гэта часта найхутчэйшы шлях для аператара знайсці адпаведную палітыку.

Перайменаванне нічога не перакладае

Cisco Secure Client апісвае XML-профілі са сваімі ўласнымі выбарамі пратакола, таму перайменаванне .pcf у .xml не дае ні XML, ні налад. Устаўка імя хоста ў файл OpenVPN не прымушае шлюз IPsec размаўляць па OpenVPN, а родны кліент IKEv2 не становіцца сумяшчальным са старэйшым сэрвісам толькі таму, што абодва называюць IPsec.

Кожны з гэтых крокаў змяняе этыкетку і пакідае паводзіны ў сетцы нязменнымі, таму ўзніклы збой выглядае не звязаным з правай. Калі шлюз не можа прапанаваць тое, што рэалізуе новы кліент, сумленныя варыянты — кліент, які яшчэ размаўляе па старым пратаколе, або запланаваны пераход шлюза. Здагадкі паміж імі каштуюць тыдняў і нічога не вучаць.

Стаўцеся да старога профілю як да адчувальнага матэрыялу

Стары профіль можа змяшчаць унутранае імя хоста, назву групы і часам захаваныя ўліковыя даныя, а гэта менавіта тое, што збіраюць публічныя канвертары і галіны форумаў. Няхай адміністратар чытае палі праз ухвалены канал замест загрузкі файла куды-небудзь.

Супраціўляйцеся спакусе паставіць пераход у залежнасць ад бэта-кліента, непадтрымоўванай гасцявой сістэмы або слабейшай аўтэнтыфікацыі, абранай, каб падтрымаць састарэлы кліент. Старыя цэны і старонкі загрузкі — не лепшае сведчанне, чым сам PCF, бо яны апісваюць права з іншай эпохі, а не дагавор, які вам цяпер патрэбны.