VPN profil samo s PCF-om: šta pitati prije migracije

Neko vam preda datoteku .pcf i laptop i očekuje da veza radi tačno kao prije godina. Obično neće, a format datoteke je rijetko razlog. PCF bilježi parametre koji su starom Cisco VPN Clientu trebali da dosegne jedan konkretan koncentrator; ne govori ništa o tome može li trenutni klijent još razgovarati s tom uslugom. Datoteka je dokaz o prošloj vezi, a ne ugovor za sljedeću.

Odvojiti taj dokaz od zahtjeva jest cijeli zadatak. Vlasnik gatewaya vam duguje podržanu kombinaciju klijenta, protokola, metode autentifikacije i formata profila, što je drugo pitanje od toga hoće li neka aplikacija otvoriti vaš stari profil.

Šta datoteka u vašoj ruci zapravo bilježi

PCF je mali profil od unosa veze: host ili par primarni i rezervni, naziv grupe i naznake kako klijent treba predstaviti akreditive. Ne nosi pregovaranje o protokolu, ni odluku o povjerenju, ni tvrdnju o trenutnim mogućnostima gatewaya. Čitanje vam kaže gdje je stari klijent zvao i pod kojim nazivom grupe, a taj je dio zaista koristan kontekst za onoga ko upravlja glavnim čvorištem.

Ono što vam ne može reći jest da li usluga iza tog imena hosta još prihvata isti protokol ili da li račun postoji u obliku koji odgovara naznakama. Ti odgovori žive na gatewayu i u spremištu identiteta, pa pitajte tamo prije nego što gradite.

Tri zahtjeva koji izgledaju kao jedan

Prvi zahtjev je kompatibilnost na žici: klijent mora implementirati protokol daljinskog pristupa koji gateway završava. Drugi je autentifikacija, gdje metoda koju gateway zahtijeva — certifikat, grupne akreditive plus MFA ili EAP — mora biti ona koju klijent zaista može izvesti. Treći je politika: podijeljeni tunel, DNS, bazeni adresa i sve provjere stanja, sve konfigurisano na gatewayu i dostavljeno klijentu u profilu koji mora prihvatiti.

PCF pruža slab dokaz o drugom zahtjevu i bitno nikakav o druga dva. Funkcija uvoza dodatno zamućuje granicu: klijent koji preslikava naslijeđena polja u vlastiti format može uspjeti pri uvozu, a ne uspjeti pri povezivanju, a obrnuto je također moguće.

Pet pitanja koja daju upotrebljiv odgovor

Pošaljite pitanja umjesto datoteke. Koja kombinacija usluge daljinskog pristupa i klijenta je danas podržana; koji protokol ta usluga predstavlja internetu; koja metoda autentifikacije i put registracije važe; koji profil, korijeni povjerenja i grupna politika ili politika MFA idu uz to; i koji se dijelovi razlikuju od stare veze. Svaki odgovor odgovara jednom od tri zahtjeva gore.

Taj spisak pretvara raspravu o formatima datoteka u odluku o podršci i obično vraća link do dokumentacije i imenovanog vlasnika umjesto slijeganja ramenima. Takođe vam rano kaže je li migracija novi profil prema postojećoj usluzi ili promjena gatewaya koju niko još nije zakazao. Pitajte pismeno, jer odgovori postaju kriteriji prihvatanja za sve što sljedeće izgradite. Zadržite i stari naziv grupe u zahtjevu, jer je to često najbrži način da operater pronađe odgovarajuću politiku.

Preimenovanje ništa ne prevodi

Cisco Secure Client dokumentuje XML profile s vlastitim izborom protokola, pa preimenovanje .pcf u .xml ne daje ni XML ni postavke. Lijepljenje imena hosta u OpenVPN datoteku ne čini IPsec gateway govornikom OpenVPN-a, a izvorni IKEv2 klijent ne postaje kompatibilan sa starijom uslugom samo zato što se oba opisuju kao IPsec.

Svaki od tih poteza mijenja oznaku i ostavlja ponašanje na žici netaknutim, zbog čega rezultirajući kvar izgleda nepovezano s izmjenom. Kada gateway ne može ponuditi ono što novi klijent implementira, iskrene opcije su klijent koji još govori stari protokol ili planirana migracija gatewaya. Nagađanje između njih košta sedmicama i ničemu ne uči.

Tretirajte stari profil kao osjetljiv materijal

Stari profil može sadržavati interno ime hosta, naziv grupe i ponekad pohranjene akreditive, što je upravo oblik stvari koje sakupljaju javni konverteri i forumske teme. Neka administrator pročita polja kroz odobren kanal umjesto da datoteku bilo gdje prenosite.

Oduprite se iskušenju da migraciju objesite o beta klijent, nepodržan gostujući sistem ili slabiju autentifikaciju odabranu da održi zastarjeli klijent na životu. Stare cijene i stranice za preuzimanje nisu bolji dokaz od samog PCF-a, jer opisuju pravo iz druge ere, a ne ugovor koji vam sada treba.