Кои VPN протоколи вашата операционна система вече разбира?

Преди да изтеглите още един клиент, проверете какво операционната система вече реализира, защото отговорът често е достатъчен, за да пропуснете инсталатора напълно. Windows, macOS и ChromeOS идват с фиксиран и кратък списък от протоколи за тунели и шлюз, който говори един от тях, не се нуждае от допълнителен драйвер, услуга или път за актуализация. Това не се решава от името на доставчика в брошурата. Решава го протоколът, как крайната точка се удостоверява и какъв адрес очаква.

Питайте за протокола, не за името на продукта

Името на продукта казва много малко за това какво минава по кабела. Два шлюза, продавани под един и същ етикет, могат да изискват напълно различни тунели и единият може да приема вграден клиент, докато другият отказва всичко освен собствения си портал. Двама администратори, описващи една и съща кутия, могат да не са съгласни и двамата да са прави, защото описват различни слоеве. Тунелът отдолу е това, което решава дали е нужен инсталатор.

Задайте три въпроса на този, който управлява шлюза: кой протокол за тунел, кой метод за удостоверяване и кой адрес и DNS суфикс клиентът трябва да приеме. Питайте за протокола по име и когато отговорът дойде като име на продукт, обяснете защо ви е нужен протоколът. Тези три отговора решават въпроса за клиента, преди да е изтеглен какъвто и да е софтуер.

Има причина името на продукта да оцелява в толкова много заявки. URL адресът на портала е това, което потребителите виждат, а тунелът е невидим, докато работи. Записването на протокола в бележката за предаване струва един ред и премахва двусмислието за всеки, който дойде след вас.

Къде спира вграденият списък

Собствените списъци са кратки и ръбовете им значат повече от съдържанието им. Платформа, която говори L2TP върху IPsec с предварително споделен ключ, няма да говори SSTP и тази разлика решава клиента. Таблицата е подредена по тунел, а не по доставчик, така че можете да потърсите протокола, който шлюзът е посочил.

Четете таблицата срещу изискванията на шлюза, а не срещу брошура. Ако отговорът е L2TP върху IPsec с предварително споделен ключ, първите три платформи се свързват без нищо допълнително инсталирано. Ако отговорът е OpenVPN, само ChromeOS е покрит, преди да инсталирате каквото и да е. Протокол, който не се появява в нито една вградена колона, е честният сигнал, че идва инсталатор.

Linux е колоната, която устоява на обобщение. Поддръжката на протоколи в нея живее в демони и плъгини, които дистрибуцията избира да пакетира, така че минимален образ може да не говори нито един от тях, докато не ги добавите, и две дистрибуции с една и съща графична среда могат да се различават.

Изградете профила от командния ред

Всичко, което графичният панел записва, се съхранява някъде, до което можете да стигнете, и точно това прави вградения профил автоматизируем. Windows пази записите за VPN във .pbk файлове под потребителския профил и под ProgramData, а rasphone може да изброява и редактира записи, които списъкът със мрежи не показва. Това има значение, когато машина се предоставя със скрипт и никой няма да щраква през съветник. Това също обяснява как профил може да съществува, без никога да се появи в системния трей.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ръчното редактиране на .pbk файл работи и също е най-бързият начин да го повредите, затова оставете инструмента да притежава формата. macOS пази услугите си в системната конфигурация, а networksetup се обръща към тях по име на услуга; няколко флага искат адрес, а не име на хост, затова първо разрешете крайната точка и запазете стойността, която клиентът действително ще използва. Тази разлика хапе по време на автоматизация, защото скрипт, който работи с адрес, може да се провали с име и грешката изглежда като счупен шлюз, а не като отхвърлен аргумент.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Имената на услугите са локализирани и редактируеми от потребителя, така че скрипт, който твърдо кодира Wi-Fi се чупи на първата машина, настроена на друг език. Четете името от командата за списък и го предавайте, вместо да гадаете.

Сертификати без собствен клиент

Някои внедрявания изискват клиентски сертификат и нищо друго собствено и това е междинният случай, който си струва да тествате, преди да приемете драйвер. Поставянето на сертификат в хранилището на платформата се поддържа; това не е същото действие като да пуснете коренов сертификат на доставчик и да се надявате клиентът да го намери. Първото е умишлено поставяне; второто е предположение с прикачена заявка за поддръжка.

Детайлът, който хваща хората, е кое хранилище чете клиентът. Сертификат в потребителското хранилище е невидим за клиент, конфигуриран за машинното хранилище, и съобщението, което получавате, казва, че сертификатът липсва, а не че стои на грешното място. Проверете и двете хранилища, преди да заключите, че сертификатът е грешен. Запишете кое от тях използва работещата конфигурация, защото тази бележка надживява сертификата, когато машината се преизгради.

Windows разделя двете хранилища изрично, а macOS отделя ключодържача за вход от системния ключодържач. Имената се различават, но режимът на отказ е идентичен: валиден сертификат, който клиентът никога не поглежда.

Какво налага инсталатор

Някои шлюзове обвързват клиента с частно хранилище за сертификати, агент за състояние или обмен на вход, който операционната система не може да извърши. Внедряванията върху хардуер на Check Point, Cisco или Fortinet често се озовават там и в тях вграденият клиент не е пряк път. Замяна от трета страна може да се свърже и пак да наруши политиката, което прави това решение за сигурност, а не за удобство. Инсталирайте каквото изисква политиката и запишете причината до версията на инсталатора.

Този запис е частта, която хората пропускат, и частта, която спестява на следващия администратор седмица: протокол, метод за удостоверяване, семейство адреси и изискван суфикс, с един ред обосновка за всеки двоичен файл, който е трябвало да се добави. Сложете го там, където живеят бележките за инсталатора, а не в чат нишка. Два реда документация предотвратяват повторно разследване.