Якія VPN-пратаколы ваша аперацыйная сістэма ўжо разумее?

Перш чым спампаваць яшчэ адзін кліент, праверце, што аперацыйная сістэма ўжо рэалізуе, бо адказу часта дастаткова, каб цалкам абысціся без усталёўніка. Windows, macOS і ChromeOS пастаўляюцца з фіксаванымі і кароткімі спісамі пратаколаў тунэляў, і шлюзу, які разумее адзін з іх, не патрэбны дадатковы драйвер, служба ці шлях абнаўлення. Вырашае гэта не назва вытворцы на брашуры. Вырашае пратакол, тое, як канчатковы пункт пацвярджае сябе, і які адрас ён чакае.

Пытайце пратакол, а не назву прадукту

Назва прадукту вельмі мала кажа пра тое, што ідзе па провадзе. Два шлюзы, прададзеныя пад адной этыкеткай, могуць патрабаваць цалкам розных тунэляў, і адзін можа прымаць убудаваны кліент, тады як другі адмаўляе ўсім, акрамя ўласнага партала. Два адміністратары, якія апісваюць адзін і той жа бокс, могуць разыходзіцца і абодва мець рацыю, бо яны апісваюць розныя ўзроўні. Тунэль унізе — гэта тое, што вырашае, ці патрэбны ўсталёўнік.

Задайце тры пытанні таму, хто кіруе шлюзам: які пратакол тунэлю, які метад аўтэнтыфікацыі і які адрас і суфікс DNS кліент павінен прыняць. Пытайце пратакол па назве, і калі адказ прыходзіць назвай прадукту, патлумачце, чаму патрэбны менавіта пратакол. Гэтыя тры адказы вырашаюць пытанне кліента яшчэ да спампоўкі любой праграмы.

Ёсць прычына, чаму назва прадукту жыве ў столькіх заяўках. URL партала — гэта тое, што бачаць карыстальнікі, а тунэль незаўважны, пакуль працуе. Запісаць пратакол у нататку пра перадачу каштуе адзін радок і здымае неадназначнасць для ўсіх, хто прыйдзе пасля.

Дзе спыняецца ўбудаваны спіс

Уласныя спісы кароткія, і іх краі важнейшыя за іх змест. Платформа, якая разумее L2TP праз IPsec з папярэдне агульным ключом, не будзе разумець SSTP, і гэта розніца вырашае кліент. Табліца ўпарадкавана па тунэлі, а не па вытворцы, таму вы можаце знайсці пратакол, названы шлюзам.

Чытайце табліцу супраць патрабаванняў шлюза, а не супраць брашуры. Калі адказ — L2TP праз IPsec з папярэдне агульным ключом, першыя тры платформы падключаюцца без нічога ўсталяванага. Калі адказ — OpenVPN, то перад усталёўкай чаго-небудзь пакрыты толькі ChromeOS. Пратакол, які не з'яўляецца ні ў адным убудаваным слупку, — гэта сумленны сігнал, што набліжаецца ўсталёўнік.

Linux — гэта слупок, які супраціўляецца абагульненню. Падтрымка пратаколаў у ім жыве ў дэманах і плагінах, якія дыстрыбутыў вырашае спакаваць, таму мінімальны вобраз можа не разумець нічога з гэтага, пакуль вы іх не дадасце, і два дыстрыбутывы з адным і тым жа працоўным сталом могуць адрознівацца.

Пабудуйце профіль з каманднага радка

Усё, што піша графічная панэль, захоўваецца недзе, дзе вы можаце да яго дабрацца, і менавіта гэта робіць убудаваны профіль аўтаматызуемым. Windows трымае запісы VPN у .pbk файлах пад профілем карыстальніка і пад ProgramData, а rasphone можа пералічваць і рэдагаваць запісы, якія спіс сетак не паказвае. Гэта важна, калі машына разгортваецца скрыптом і ніхто не будзе пстрыкаць па майстру. Гэта таксама тлумачыць, як профіль можа існаваць, ніколі не з'яўляючыся ў латку.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Рэдагаванне .pbk файла ўручную працуе, і гэта таксама самы хуткі спосаб яго сапсаваць, таму няхай фармат належыць інструменту. macOS трымае свае службы ў сістэмнай канфігурацыі, а networksetup звяртаецца да іх па назве службы; некаторыя сцягі хочуць адрас, а не імя хоста, таму спачатку вызначыце канчатковы пункт і захавайце значэнне, якое кліент фактычна выкарыстае. Гэта розніца кусаецца падчас аўтаматызацыі, бо скрыпт, які працуе з адрасам, можа праваліцца з імем, і памылка выглядае як зламаны шлюз, а не як адхілены аргумент.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Назвы службаў лакалізаваныя і рэдагуюцца карыстальнікам, таму скрыпт, які цвёрда кадуе Wi-Fi ламаецца на першай машыне, усталяванай на іншую мову. Чытайце назву з каманды спісу і перадавайце яе далей, а не ўгадвайце.

Сертыфікаты без уласнага кліента

Некаторыя разгортванні патрабуюць кліенцкага сертыфіката і нічога іншага ўласнага, і гэта сярэдні выпадак, які варта праверыць, перш чым прымаць драйвер. Размяшчэнне сертыфіката ў сховішчы платформы падтрымліваецца; гэта не тое ж дзеянне, што кінуць каранёвы сертыфікат вытворцы і спадзявацца, што кліент яго знойдзе. Першае — наўмыснае размяшчэнне; другое — здагадка з прычэпленай заяўкай у падтрымку.

Дэталь, якая ловіць людзей, — гэта тое, якое сховішча чытае кліент. Сертыфікат у сховішчы карыстальніка нябачны для кліента, настроенага на сховішча машыны, і паведамленне, якое вы атрымаеце, кажа, што сертыфіката няма, а не што ён ляжыць не ў тым месцы. Праверце абодва сховішчы, перш чым рабіць выснову, што сертыфікат няправільны. Запішыце, якое з іх выкарыстоўвае працоўная канфігурацыя, бо гэтая нататка перажывае сертыфікат, калі машыну перабудуюць.

Windows раздзяляе два сховішчы яўна, а macOS аддзяляе звязку ключоў уваходу ад сістэмнай звязкі ключоў. Назвы розныя, але рэжым адмовы аднолькавы: сапраўдны сертыфікат, на які кліент ніколі не глядзіць.

Што прымушае да ўсталёўніка

Некаторыя шлюзы прывязваюць кліент да прыватнага сховішча сертыфікатаў, агента стану або абмену ўваходам, які аперацыйная сістэма не можа выканаць. Разгортванні на абсталяванні Check Point, Cisco ці Fortinet часта трапляюць туды, і ў іх убудаваны кліент не з'яўляецца кароткім шляхам. Замена ад трэцяга боку можа падключыцца і ўсё ж парушыць палітыку, што робіць гэта рашэннем бяспекі, а не зручнасці. Усталюйце тое, што патрабуе палітыка, і запішыце прычыну побач з версіяй усталёўніка.

Гэты запіс — тая частка, якую людзі прапускаюць, і тая, што эканоміць наступнаму адміністратару тыдзень: пратакол, метад аўтэнтыфікацыі, сямейства адрасоў і патрэбны суфікс, з адным радком абгрунтавання для кожнага двайковага файла, які давялося дадаць. Змясціце яго туды, дзе жывуць нататкі ўсталёўніка, а не ў ланцужок чата. Два радкі дакументацыі прадухіляюць паўторнае расследаванне.