Može li jedna VPN usluga pokriti Windows, Mac i Linux desktop računare?

Tri laptopa u jednom timu, tri različita VPN menija i tiket u kojem piše da veza radi svuda osim na Macu. Plan iza tih klijenata može biti identičan čak i kada meniji nisu. Ono što se mora poklopiti uže je nego što većina uvođenja pretpostavlja: jedan identitet gatewaya, jedna vrsta vjerodajnice, jedan skup ruta i jedna politika resolvera. Zapišite ta četiri prije nego što bilo ko izveze profil, i rad na platformama postaje kontrolna lista umjesto istrage.

Počnite od ugovora o pristupu, a ne od klijentske datoteke

Ugovor o pristupu je pet redova koje recenzent može provjeriti bez otvaranja konzole dobavljača. On imenuje privatne prefikse koji moraju biti dostupni, interne nazive koji se moraju razriješiti, resolver koji na njih odgovara, promet kojem je dopušteno da ostane na lokalnoj putanji i certifikat gatewaya koji klijent treba očekivati. Sve ostalo u uvođenju je prijevod tih redova u format datoteke.

Primjer iz ureda oblik čini konkretnim: aplikacijski serveri u 10.60.0.0/16, privatni nazivi pod corp.example, interni resolver na 10.61.0.53 i obično pregledanje ostavljeno na putanji koju uređaj već koristi. Posljednja stavka je odluka o politici, a ne zadana vrijednost klijenta, i nekoliko klijenata poslat će sve kroz tunel ako niko ne kaže drugačije. Zabilježite ugovor s datumom i vlasnikom, jer taj zapis kasnije govori da li se promijenio tunel ili politika.

Odaberite jedan protokol i jedan par autentifikacije koji možete braniti

IKEv2 s autentifikacijom gatewaya zasnovanom na certifikatu i EAP za korisnika uobičajen je izbor kada sve tri platforme moraju raditi bez dodatnog softvera, jer Windows, macOS i NetworkManager svaki isporučuju IKEv2 klijenta. Problem je što podrška za IKEv2 opisuje oznaku, a ne skup funkcija. EAP metode, ključevi s hardverskom podrškom, mapiranje certifikata na račun i automatsko ponovno povezivanje implementiraju se zasebno po platformi. Kombinacija koja radi na dvije od tri dovoljno je česta da je treba pretpostaviti dok se ne testira.

Testirajte par na svakoj ciljnoj platformi prije nego što se napiše vodič za uvođenje, a ne poslije. Gateway koji nudi i EAP-MSCHAPv2 i EAP-TLS daje vam prostor za povlačenje, pod uslovom da je povlačenje dokumentirano kao podržano, a ne otkriveno tokom incidenta. Dvije podržane putanje jeftino su osiguranje; nedokumentirana treća putanja budući je tiket.

Kada nijedan par ne pokriva sva tri klijenta, iskrene opcije su dodati klijent, dodati profil gatewaya ili suziti listu podržanih platformi. Isključivanje provjere certifikata na platformi koja se najglasnije žali nije jedna od njih. Ta promjena pretvara kompatibilnu prazninu u rizik presretanja i nijedan kasniji korak u uvođenju je ne popravlja.

Izgradite jedan artefakt po platformi iz ugovora

Windows uzima VPNv2 profil, dostavljen kroz MDM ili lokalno kreiran s Add-VpnConnection i njegovim XML teretom. Dijelovi koji bole su obuhvat i povjerenje. Profil s obuhvatom uređaja i profil s obuhvatom korisnika instaliraju se u različita spremišta, pa certifikat koji klijent treba mora stajati u spremištu koje odgovara obuhvatu koji ste odabrali. Pogrešno uparivanje daje profil koji se čisto uvozi i zatim pada na prvom povezivanju.

macOS uzima konfiguracijski profil s upravljanim VPN teretom, potpisan i poslan kroz MDM ili ručno instaliran za pilot. Identitet i CA lanac putuju kao odvojeni tereti, zato se profil može instalirati bez prigovora i ipak pasti u trenutku povezivanja. Provjerite listu tereta, ne samo rezultat instalacije.

Linux zavisi od backenda iza NetworkManagera, a strongSwan i NetworkManager dodatak odvojeni su paketi. Svojstva veze specifična su za dodatak, a ne generički VPN ključevi, pa se ključ kopiran iz drugog dodatka često snimi bez greške i zatim padne pri aktivaciji. Izgradite vezu na čistoj slici da potvrdite da je dodatak prisutan tamo gdje će zaista raditi.

Tri artefakta razlikuju se po formatu, ali svaki kodira istih pet redova ugovora. To je test da li je artefakt gotov: svaki red je negdje predstavljen i ništa dodatno nije izmišljeno usput.

Provjerite rute, resolver i ponovno povezivanje na čistom računu

Povezano nije prihvatni test. Na Windowsu Get-VpnConnection pokazuje profil, a route print pokazuje da li je privatni prefiks sletio na tunelsko sučelje. Na macOSu scutil --nc list potvrđuje aktivnu uslugu, dok scutil --dns pokazuje redoslijed resolvera koji će sistem zaista koristiti.

Na Linuxu nmcli connection show --active dokazuje da je veza podignuta, a resolvectl status pokazuje DNS po vezi. Resolver prisutan u datoteci veze, ali odsutan iz izlaza po vezi, znači da se podijeljeni DNS ne primjenjuje. To je razlika između naziva koji se razrješavaju i naziva koji se razrješavaju kroz tunel, i mijenja koji tim za podršku preuzima sljedeći korak. Uporedite izlaz po vezi prije i poslije podizanja veze, ne samo poslije.

Pokrenite cijelu provjeru kao svježi račun bez keširanih vjerodajnica i bez certifikata koji je instalirao administrator. Zatim je ponovite nakon suspenzije i buđenja, i još jednom nakon što prinudno ponovo unesete vjerodajnicu. Ta dva prijelaza otkrivaju većinu kvarova ponovnog povezivanja koje prvo povezivanje nikada ne pokaže.

Verzionirajte paket i zadržite putanju vraćanja

Označite svaki paket platforme revizijom ugovora koju implementira i zabilježite verzije klijenta i gatewaya prema kojima ste ga prihvatili. Kada se ponašanje promijeni nakon ažuriranja klijenta, oznaka pokazuje na ugovor koji treba ponovo testirati, a ne na datoteku za nagađanje.

Držite prethodni paket za svaku platformu dostupnim i zapišite naredbu za uklanjanje pored njega. Deinstalacija VPN profila nije zrcalna slika instalacije na Windowsu, macOSu ili Linuxu, a razlike se pojavljuju u najgorem trenutku. Vježbajte uklanjanje jednom na rezervnom uređaju da arhiva postane plan, a ne nada.