VPN профил само с PCF: какво да попитате преди миграцията

Някой ви подава файл .pcf и лаптоп и очаква връзката да работи точно както преди години. Обикновено няма да е така и форматът на файла рядко е причината. PCF записва параметрите, които старият Cisco VPN Client е изисквал, за да достигне един конкретен концентратор; той не казва нищо за това дали настоящ клиент все още може да говори с тази услуга. Файлът е доказателство за минала връзка, а не договор за следващата.

Отделянето на това доказателство от изискванията е цялата задача. Собственикът на шлюза ви дължи поддържана комбинация от клиент, протокол, метод за удостоверяване и формат на профила, което е различен въпрос от това дали някое приложение ще отвори стария ви профил.

Какво всъщност записва файлът в ръката ви

PCF е малък профил от записи за връзка: хост или двойка основен и резервен, име на група и подсказки как клиентът да представя идентификационни данни. Той не носи договаряне на протокол, нито решение за доверие, нито твърдение за настоящите възможности на шлюза. Четенето му ви казва къде е набирал старият клиент и под кое име на група, а тази част е наистина полезна информация за всеки, който отговаря за главния възел.

Това, което не може да ви каже, е дали услугата зад това име на хост все още приема същия протокол или дали акаунтът съществува във форма, съответстваща на подсказките. Тези отговори живеят на шлюза и в хранилището за идентичности, затова питайте там, преди да строите.

Три изисквания, които изглеждат като едно

Първото изискване е съвместимост на ниво мрежа: клиентът трябва да реализира протокола за отдалечен достъп, който шлюзът прекратява. Второто е удостоверяването, където методът, който шлюзът изисква — сертификат, групови идентификационни данни плюс MFA или EAP — трябва да е такъв, който клиентът наистина може да изпълни. Третото е политиката: разделен тунел, DNS, пулове от адреси и всякакви проверки на състоянието, всички конфигурирани на шлюза и доставени на клиента в профил, който той трябва да приеме.

PCF дава слабо доказателство за второто изискване и практически никакво за другите две. Функцията за импортиране размива границата още повече: клиент, който преобразува стари полета в собствения си формат, може да успее да импортира, но да не се свърже, а обратното също е възможно.

Пет въпроса, които дават използваем отговор

Изпращайте въпроси, а не файла. Коя комбинация от услуга за отдалечен достъп и клиент се поддържа днес; кой протокол тази услуга представя към интернет; кой метод за удостоверяване и път за записване важат; кой профил, доверителни корени и групова политика или политика за MFA му принадлежат; и кои части се различават от старата връзка. Всеки отговор съответства на едно от трите изисквания по-горе.

Този списък превръща обсъждането на файлови формати в решение за поддръжка и обикновено връща връзка към документация и посочен отговорник вместо свиване на рамене. Той също така ви казва рано дали миграцията е нов профил към съществуваща услуга, или промяна на шлюза, която никой още не е планирал. Питайте писмено, защото отговорите стават критерии за приемане на това, което построите след това. Запазете и старото име на групата в заявката, тъй като то често е най-бързият начин операторът да открие съответната политика.

Преименуването не превежда нищо

Cisco Secure Client документира XML профили със свои собствени избори на протокол, така че преименуването на .pcf на .xml не произвежда нито XML, нито настройки. Поставянето на име на хост в OpenVPN файл не кара шлюз с IPsec да говори OpenVPN, а роден клиент с IKEv2 не става съвместим с по-стара услуга само защото и двете се описват като IPsec.

Всяко от тези действия сменя етикет и оставя мрежовото поведение непокътнато, поради което полученият отказ изглежда несвързан с редакцията. Когато шлюзът не може да предложи това, което новият клиент реализира, честните варианти са клиент, който все още говори стария протокол, или планирана миграция на шлюза. Гадаенето между тях струва седмици и не учи на нищо.

Отнасяйте се към стария профил като към чувствителен материал

Старият профил може да съдържа вътрешно име на хост, име на група и понякога запазени идентификационни данни, което е точно формата на нещо, което публичните конвертори и теми във форуми събират. Нека администратор прочете полетата през одобрен канал, вместо да качвате файла някъде.

Усторете на изкушението да окачите миграцията на бета клиент, неподдържана гостева система или по-слабо удостоверяване, избрано да поддържа жив остарял клиент. Старите цени и страници за изтегляне не са по-добро доказателство от самия PCF, защото описват право от друга епоха, а не договора, който ви трябва сега.