Perfil VPN només amb PCF: què cal preguntar abans de migrar

Algú us dona un fitxer .pcf i un portàtil i espera que la connexió funcioni exactament com fa anys. Normalment no serà així, i el format del fitxer poques vegades n'és la causa. Un PCF registra els paràmetres que un antic Cisco VPN Client necessitava per arribar a un concentrador concret; no diu res sobre si un client actual encara pot parlar amb aquest servei. El fitxer és una prova d'una connexió passada, no un contracte per a la següent.

Separar aquesta prova dels requisits és tota la feina. El que el propietari de la passarel·la us deu és una combinació compatible de client, protocol, mètode d'autenticació i format de perfil, que és una qüestió diferent de si alguna aplicació obrirà el vostre perfil antic.

Què registra realment el fitxer que teniu a la mà

Un PCF és un petit perfil d'entrades de connexió: un amfitrió o una parella de primari i de reserva, un nom de grup i indicis sobre com el client ha de presentar les credencials. No porta cap negociació de protocol, cap decisió de confiança ni cap declaració de les capacitats actuals de la passarel·la. Llegir-lo us diu on marcava el client antic i amb quin nom de grup, i aquesta part és un context genuïnament útil per a qui posseeix el cap de xarxa.

El que no us pot dir és si el servei darrere d'aquell nom d'amfitrió encara accepta el mateix protocol, o si el compte sobreviu en una forma que encaixi amb els indicis. Aquestes respostes viuen a la passarel·la i al magatzem d'identitats, així que pregunteu-hi abans de construir.

Tres requisits que semblen un de sol

El primer requisit és la compatibilitat de cable: el client ha d'implementar el protocol d'accés remot que la passarel·la acaba. El segon és l'autenticació, on el mètode que exigeix la passarel·la —certificat, credencial de grup més MFA o EAP— ha de ser un que el client pugui realment executar. El tercer és la política: túnel dividit, DNS, pools d'adreces i qualsevol comprovació d'estat, tot configurat a la passarel·la i lliurat al client en un perfil que ha d'acceptar.

Un PCF ofereix una prova feble sobre el segon requisit i pràcticament cap sobre els altres dos. Una funció d'importació difumina encara més el límit: un client que assigna camps heretats al seu propi format pot tenir èxit en la importació i fracassar en la connexió, i també és possible el contrari.

Cinc preguntes que produeixen una resposta útil

Envieu preguntes en lloc del fitxer. Quina combinació de servei d'accés remot i client es manté avui; quin protocol presenta aquest servei a internet; quin mètode d'autenticació i camí d'inscripció s'apliquen; quin perfil, ancoratges de confiança i política de grup o MFA li corresponen; i quines parts difereixen de la connexió antiga. Cada resposta correspon a un dels tres requisits anteriors.

Aquesta llista converteix una discussió sobre formats de fitxer en una decisió sobre suport, i normalment retorna un enllaç a la documentació i un responsable amb nom en lloc d'encongir les espatlles. També us diu aviat si la migració és un perfil nou contra un servei existent o un canvi de passarel·la que ningú ha planificat encara. Pregunteu per escrit, perquè les respostes esdevenen els criteris d'acceptació del que construïu després. Guardeu també el nom de grup antic al tiquet, ja que sovint és la via més ràpida perquè l'operador trobi la política corresponent.

Canviar el nom no tradueix res

Cisco Secure Client documenta els perfils XML amb les seves pròpies opcions de protocol, així que canviar el nom d'un .pcf a .xml no produeix ni XML ni paràmetres. Enganxar un nom d'amfitrió en un fitxer OpenVPN no fa que una passarel·la IPsec parli OpenVPN, i un client IKEv2 natiu no esdevé compatible amb un servei més antic només perquè tots dos es descriuen com a IPsec.

Cadascun d'aquests moviments canvia una etiqueta i deixa intacte el comportament del cable, i per això la fallada resultant sembla no relacionada amb l'edició. Quan la passarel·la no pot oferir el que implementa el client nou, les opcions honestes són un client que encara parli el protocol antic o una migració de passarel·la planificada. Endevinar entre les dues costa setmanes i no ensenya res.

Tracteu el perfil antic com a material sensible

Un perfil antic pot contenir un nom d'amfitrió intern, un nom de grup i de vegades material de credencials emmagatzemat, que és precisament la forma de cosa que recullen els convertidors públics i els fils de fòrum. Feu que un administrador llegeixi els camps per un canal aprovat en lloc de pujar el fitxer enlloc.

Resistiu la temptació de fer dependre la migració d'un client beta, un sistema convidat no suportat o una autenticació més feble triada per mantenir viu un client obsolet. Els preus i les pàgines de descàrrega antics no són millor prova que el mateix PCF, perquè descriuen un dret d'una altra època i no el contracte que ara necessiteu.