Koje VPN protokole vaš operativni sistem već govori?

Prije nego preuzmete još jednog klijenta, provjerite šta operativni sistem već implementira, jer odgovor je često dovoljan da u potpunosti preskočite instalater. Windows, macOS i ChromeOS dolaze s fiksnom i kratkom listom protokola tunela, a pristupniku koji govori jedan od njih ne treba dodatni upravljački program, servis ni put za ažuriranje. To ne odlučuje ime proizvođača na brošuri. Odlučuju protokol, način na koji krajnja točka provjerava identitet i adresa koju očekuje.

Tražite protokol, a ne ime proizvoda

Ime proizvoda malo govori o tome šta prelazi preko žice. Dva pristupnika prodana pod istom oznakom mogu zahtijevati potpuno različite tunele, a jedan može prihvatati ugrađeni klijent dok drugi odbija sve osim vlastitog portala. Dva administratora koja opisuju istu kutiju mogu se ne slagati i obojica biti u pravu, jer opisuju različite slojeve. Tunel ispod je ono što odlučuje je li instalater potreban.

Postavite tri pitanja onome ko upravlja pristupnikom: koji protokol tunela, koji način provjere identiteta i koju adresu i DNS sufiks klijent mora prihvatiti. Tražite protokol po imenu, a kad odgovor dođe kao ime proizvoda, objasnite zašto vam je potreban protokol. Ta tri odgovora rješavaju pitanje klijenta prije nego što se preuzme bilo koji softver.

Postoji razlog zašto ime proizvoda preživljava u toliko zahtjeva. URL portala je ono što korisnici vide, a tunel je nevidljiv dok radi. Upisivanje protokola u bilješku o primopredaji košta jedan red i uklanja nejasnoću za svakoga ko dođe poslije.

Gdje se ugrađena lista zaustavlja

Ugrađene liste su kratke i njihove ivice su važnije od sadržaja. Platforma koja govori L2TP preko IPsec s unaprijed dijeljenim ključem neće govoriti SSTP i ta razlika odlučuje klijenta. Tabela je uređena po tunelu, a ne po proizvođaču, pa možete potražiti protokol koji je pristupnik naveo.

Čitajte tabelu prema zahtjevima pristupnika, a ne prema brošuri. Ako je odgovor L2TP preko IPsec s unaprijed dijeljenim ključem, prve tri platforme se povezuju bez ičega dodatno instaliranog. Ako je odgovor OpenVPN, prije nego što bilo šta instalirate pokriven je samo ChromeOS. Protokol koji se ne pojavljuje ni u jednoj ugrađenoj koloni iskren je znak da instalater dolazi.

Linux je kolona koja se odupire generalizaciji. Podrška za protokole u njemu živi u demonima i dodacima koje distribucija odluči pakovati, pa minimalna slika može ne govoriti nijedan od njih dok ih ne dodate, a dvije distribucije s istim radnim stolom mogu se razlikovati.

Izgradite profil iz komandne linije

Sve što grafički panel upiše pohranjeno je negdje do čega možete doći, i to je ono što ugrađeni profil čini automatiziranim. Windows čuva VPN unose u .pbk datotekama pod korisničkim profilom i pod ProgramData, a rasphone može izlistati i uređivati unose koje lista mreža ne prikazuje. To je važno kad se mašina postavlja skriptom i niko neće kliktati kroz čarobnjak. To također objašnjava kako profil može postojati a da se nikad ne pojavi u traci sistema.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ručno uređivanje .pbk datoteke radi, ali je i najbrži način da je pokvarite, pa pustite alat da posjeduje format. macOS čuva svoje servise u sistemskoj konfiguraciji, a networksetup im pristupa po imenu servisa; nekoliko zastavica traži adresu umjesto imena hosta, pa prvo razriješite krajnju tačku i sačuvajte vrijednost koju će klijent zaista koristiti. Ta razlika grize tokom automatizacije, jer skripta koja radi s adresom može pasti s imenom, a greška izgleda kao pokvaren pristupnik, a ne kao odbijen argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Imena servisa su lokalizirana i korisnik ih može uređivati, pa skripta koja tvrdo kodira Wi-Fi pada na prvoj mašini postavljenoj na drugi jezik. Čitajte ime iz komande za listanje i prosljeđujte ga umjesto da pogađate.

Certifikati bez vlasničkog klijenta

Neke implementacije trebaju klijentski certifikat i ništa drugo vlasničko, i to je srednji slučaj koji vrijedi testirati prije nego prihvatite upravljački program. Postavljanje certifikata u spremište platforme je podržano; to nije isto što i ubacivanje korijena proizvođača i vjerovanje da će ga klijent naći. Prvo je namjerno postavljanje; drugo je nagađanje s priloženim zahtjevom za podršku.

Detalj koji ljude uhvati je koje spremište klijent čita. Certifikat u korisničkom spremištu nevidljiv je klijentu konfigurisanom za spremište mašine, a poruka koju dobijete kaže da certifikat nedostaje, a ne da stoji na pogrešnom mjestu. Provjerite oba spremišta prije nego zaključite da je certifikat pogrešan. Zapišite koje od njih koristi radna konfiguracija, jer ta bilješka nadživi certifikat kad se mašina ponovo izgradi.

Windows izričito razdvaja dva spremišta, a macOS odvaja privjesak za prijavu od sistemskog privjeska. Imena se razlikuju, ali način kvara je identičan: važeći certifikat koji klijent nikad ne pogleda.

Šta prisiljava na instalater

Neki pristupnici vezuju klijenta za privatno spremište certifikata, agenta stanja ili razmjenu prijave koju operativni sistem ne može izvesti. Implementacije na opremi Check Point, Cisco ili Fortinet često tamo završe, i u njima ugrađeni klijent nije prečica. Zamjena treće strane može se povezati i ipak prekršiti politiku, što ovo čini sigurnosnom odlukom, a ne odlukom o udobnosti. Instalirajte šta politika zahtijeva i zapišite razlog uz verziju instalatera.

Taj zapis je dio koji ljudi preskoče i dio koji sljedećem administratoru uštedi sedmicu: protokol, način provjere identiteta, porodica adresa i traženi sufiks, s jednim redom opravdanja za svaku binarnu datoteku koja je morala biti dodana. Stavite ga tamo gdje žive bilješke o instalateru, a ne u chat nit. Dva reda dokumentacije sprječavaju ponovnu istragu.