Што наладзіць загадзя перад першым падключэннем карыстальніка да VPN

Першае падключэнне да VPN рэдка зрываецца ў тунелі. Яно зрываецца, калі звычайны карыстальнік у некантраляванай сетцы выконвае інструкцыю, напісаную тым, хто ўжо ўсталяваў сертыфікат. Профіль, ланцуг даверу і ўліковыя даныя — гэта канфігурацыя, і ўсе тры могуць быць дастаўлены да таго, як карыстальнік будзе задзейнічаны. Для гэтага карыстальніка павінны застацца чатыры дзеянні без рашэнняў унутры. Кожны лішні крок, пакінуты ў перадачы, ператвараецца ў званок у падтрымку, які пачынаецца з таго, што хтосьці чытае дыялогавае акно ўголас.

Што насамрэч нясе профіль падключэння

Профіль VPN — гэта не ярлык і не закладка. Гэта названы аб'ект у сховішчы падключэнняў аперацыйнай сістэмы, які змяшчае адрас сервера, тып тунеля, метад аўтэнтыфікацыі, а часта і маршруты, суфіксы DNS і правілы запуску, якія вызначаюць, калі ён падключаецца. У Windows гэтыя палі адпавядаюць вузлам пастаўшчыка службы канфігурацыі VPNv2, таму адзін профіль можа прыйсці праз Intune, Configuration Manager, пакет падрыхтоўкі або ўручную імпартаваны файл XML.

Кліент прымяняе гэты аб'ект у фіксаваным парадку: правярае сертыфікат сервера супраць давераных каранёў, узгадняе тунель і толькі потым прымяняе маршрутызацыю і разбор імёнаў, перш чым праграма ўбачыць сетку. Гэты парадак тлумачыць большасць паведамленняў пра падключэнне, якое называе сябе ўзнятым, пакуль нічога не загружаецца: аўтэнтыфікацыя прайшла, а збанкрутавалі DNS або спіс маршрутаў. Чытайце профіль як адзін аб'ект з паслядоўнасцю, а не як набор незалежных пераключальнікаў. Адсутны корань даверу зрываецца на першым кроку, да прапановы любых уліковых даных, таму ён дае агульную памылку замест запыту ўваходу.

Матэрыял даверу — гэта поле, якое найчасцей праносяць уручную. Сертыфікат CA, што падпісвае шлюз, павінен прысутнічаць да першай спробы, а праверка імені сервера павінна заставацца ўключанай з адпаведным імем; адключэнне праверкі дзеля праходжання тэсту ператварае праблему аўтэнтыфікацыі ў ціхі перахоп, які ніводны карыстальнік не зможа заўважыць.

Чатыры рашэнні, якія карыстальнікі не павінны прымаць ніколі

Пратакол і тып тунеля ідуць першымі: выберыце адну падтрыманую камбінацыю на платформу і апішыце бок шлюза, бо знаёмае гандлёвае імя не з'яўляецца заявай пра сумяшчальнасць. Далей — канцавы пункт: адно імя хоста, якое публічна развязваецца і адпавядае сертыфікату, што прапануе шлюз. Аўтэнтыфікацыя належыць сістэме ідэнтычнасці, ці то сертыфікат, ці імя карыстальніка з другім фактарам, ці абодва. Нішто з гэтага не з'яўляецца перавагай карыстальніка і не павінна выглядаць пытаннем у інструкцыі.

Чацвёрты выбар — ахоп: поўны тунель або раздзелены тунель, і якія прэфіксы ды суфіксы DNS ідуць унутры. Раздзелены тунель без унутраных суфіксаў выдае разбор імёнаў любому рэзалверу, які прапануе лакальная сетка, а поўны тунель без плана лакальных рэсурсаў ламае прынтары і парталы аўтарызацыі. Абодва — рашэнні адміністратара з бачнымі наступствамі для карыстальніка, і менавіта таму карыстальнік павінен атрымаць іх ужо вырашанымі.

Трымайце назву падключэння нуднай і стабільнай. Карыстальнікі чытаюць яе ўголас падтрымцы, шукаюць у спісе кліента і памятаюць паміж скідамі пароля; перайменаванне пасярод міграцыі стварае ўсплёск зваротаў, які не мае нічога агульнага з працаздольнасцю VPN.

Дастаўляйце ідэнтычнасць на чалавека або на прыладу

Профіль публічны, а прыватны ключ — не. Тыповая памылка разгортвання — экспартаваць адзін працоўны профіль разам з яго сертыфікатам і перадаваць файл з рук у рукі; так кожны ноўтбук робіцца клонам адной ідэнтычнасці, а адкліканне ператвараецца ў рашэнне ўсё-або-нічога. Замест гэтага рэгіструйце ўліковыя даныя праз падтрыманы працэс: сертыфікат на прыладу з канала кіравання або ўліковыя даныя на карыстальніка ад пастаўшчыка ідэнтычнасці.

Тунелі прылад і тунелі карыстальнікаў аўтэнтыфікуюцца ў розныя моманты, і гэтая розніца вызначае, якія ўліковыя даныя патрэбны. Тунель прылады, што падключаецца да ўваходу, патрабуе машыннага сертыфіката і профілю, даступнага сістэме. Тунель карыстальніка, які пачынаецца пасля ўваходу, можа выкарыстоўваць уласныя ўліковыя даныя карыстальніка і не павінен патрабаваць правоў адміністратара. Дадаваць сеткавы доступ на ўзроўні машыны толькі каб прыбраць адзін клік з чыёйсці раніцы — дрэнны абмен, бо ён пашырае тое, да чаго можа дацягнуцца пакінутая без нагляду прылада.

Рэгістрацыя — гэта таксама месца, дзе вызначаецца шлях аднаўлення. Падаўжэнне сертыфіката або змена пароля павінны дасягнуць прылады, пакуль тунель ляжыць, таму падрыхтоўка, пастаўшчык ідэнтычнасці і шлюз павінны дамовіцца, як гэта адбываецца; калі адзіны спосаб адрамантаваць профіль — праз тунель, які гэты профіль дае, ключ замкнёны ў скрыні.

Узгодніце канал дастаўкі з кліентам

Убудаваныя і староннія кліенты дастаўляюцца па-рознаму. Профілі Windows можна перадаваць як VPNv2 ProfileXML праз Intune або Configuration Manager, але не кожны вузел адкрыты ў кожнай паверхні кіравання, а маршрутызацыя, DNS і параметры запуску залежаць ад інструмента і версіі Windows. Пацвердзіце, якое поле можна разгарнуць, перш чым абяцаць разгортванне без удзелу карыстальніка, бо даведка па параметрах профілю апісвае налады, якія некаторыя шляхі дастаўкі ўсё яшчэ не могуць задаць.

Кліенты пастаўшчыкоў дадаюць другі пласт, бо бінарнік, профіль і палітыка галоўнага вузла — асобныя артэфакты. Напрыклад, Cisco Secure Client падтрымлівае папярэдняе разгортванне і пакета, і яго профілю, а версію кліента трэба ўзгадніць з канфігурацыяй шлюза; устаноўка аднаго пакета пакідае карыстальніка ў майстры.

Які б канал вы ні выбралі, трымайце адну крыніцу праўды для профілю. Адрамантаваны профіль, які старэйшы пакет перазапіша пры наступнай праверцы, — гэта паўторны інцыдэнт, а трывалае рашэнне — канфігурацыя з версіямі, а не ручная праўка на кожнай машыне.

Праверце перадачу як новы карыстальнік, потым праверце аднаўленне

Пілатуйце са звычайным уліковым запісам на прыладзе, якая ніколі не падключалася, без захаванай сесіі адміністратара і без загадзя зарэгістраванага сертыфіката. Пераканайцеся, што профіль з'яўляецца ў спісе, што запыт уваходу адпавядае інструкцыі і што названы ўнутраны рэсурс адкрываецца, а потым праверце разбор імёнаў і ахоп маршрутаў, а не спыняйцеся на значку падключэння.

Запытайце сховішча профіляў прылады, каб тэст даваў доказ, а не ўражанне.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Потым прайдзіце падзеі, з якімі карыстальнікі сапраўды сустракаюцца: прымусовы скід пароля, падоўжаны сертыфікат, прасунутае абнаўленне кліента і сетка, якой ніхто ў пілоце не карыстаўся. Кожная павінна або працаваць, або зрывацца так, як апісваюць інструкцыі. Паспрабуйце таксама сетку, якая блакуе порт VPN, бо першая спроба ў гатэльным Wi-Fi — гэта месца, дзе хатні поспех перастае дапамагаць. Запісвайце версію кліента і зборку АС побач з кожным вынікам, бо наступная справаздача прыйдзе без іх.

Трымайце перадачу для карыстальніка ў чатырох радках: назва падключэння, чаканы ўваход, рэсурс, што даказвае поспех, і куды дасылаць тэкст памылкі. Ні ў кога не павінны пытаць пароль або экспартаваны ключ, каб прадэманстраваць збой. Архітэктура, унутранасці профілю і працэдура аднаўлення належаць у дапаможнік адміністратара, побач з версіяй кліента, з якой іх правяралі.