Quins protocols VPN ja entén el vostre sistema operatiu?

Abans de baixar un altre client, mireu què ja implementa el sistema operatiu, perquè la resposta sovint n’hi ha prou per estalviar-vos l’instal·lador del tot. Windows, macOS i ChromeOS inclouen una llista fixa i curta de protocols de túnel, i una passarel·la que en parla un no necessita cap controlador, servei ni camí d’actualització addicional. El que ho decideix no és el nom del proveïdor del fullet. És el protocol, com s’autentica el punt final i quina adreça espera.

Demaneu el protocol, no el nom del producte

El nom del producte diu molt poc sobre què travessa el cable. Dues passarel·les venudes amb la mateixa etiqueta poden exigir túnels completament diferents, i una pot acceptar un client integrat mentre l’altra refusa tot excepte el seu propi portal. Dos administradors que descriuen la mateixa màquina poden discrepar i tenir tots dos raó, perquè descriuen capes diferents. El túnel de sota és el que decideix si cal un instal·lador.

Feu tres preguntes a qui gestiona la passarel·la: quin protocol de túnel, quin mètode d’autenticació i quina adreça i sufix DNS ha d’acceptar el client. Demaneu el protocol pel nom, i quan la resposta arribi com a nom de producte, expliqueu per què us cal el protocol. Aquestes tres respostes resolen la qüestió del client abans que es baixi cap programari.

Hi ha una raó per la qual el nom del producte sobreviu en tants tiquets. L’URL del portal és el que veuen els usuaris, i el túnel és invisible mentre funciona. Escriure el protocol a la nota de lliurament costa una línia i elimina l’ambigüitat per a tothom qui vingui després.

On s’atura la llista integrada

Les llistes natives són curtes, i les seves vores importen més que el contingut. Una plataforma que parla L2TP sobre IPsec amb una clau prèviament compartida no parlarà SSTP, i aquesta diferència decideix el client. La taula està ordenada per túnel, no per proveïdor, així que podeu cercar el protocol que la passarel·la ha esmentat.

Llegiu la graella segons els requisits de la passarel·la, no segons un fullet. Si la resposta és L2TP sobre IPsec amb una clau prèviament compartida, les tres primeres plataformes es connecten sense res extra instal·lat. Si la resposta és OpenVPN, només ChromeOS queda cobert abans que instal·leu res. Un protocol que no apareix en cap columna integrada és el senyal honest que arriba un instal·lador.

Linux és la columna que es resisteix a la generalització. El seu suport de protocols viu en dimonis i connectors que la distribució tria empaquetar, així que una imatge mínima pot no parlar-ne cap fins que els afegiu, i dues distribucions amb el mateix escriptori poden diferir.

Construeix el perfil des de la línia d’ordres

Tot el que escriu el tauler gràfic s’emmagatzema en algun lloc on podeu arribar, i això és el que fa automatitzable un perfil integrat. Windows guarda les entrades VPN en .pbk fitxers sota el perfil d’usuari i sota ProgramData, i rasphone pot llistar i editar entrades que la llista de xarxa no mostra. Això importa quan una màquina es provisiona amb un script i ningú no farà clic per un assistent. També explica com un perfil pot existir sense aparèixer mai a la safata.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Editar a mà un .pbk fitxer funciona, i també és la manera més ràpida de corrompre’l, així que deixeu que l’eina posseeixi el format. macOS guarda els seus serveis a la configuració del sistema, i networksetup els adreça pel nom del servei; diverses opcions volen una adreça en lloc d’un nom d’amfitrió, així que resoleu primer el punt final i guardeu el valor que el client farà servir de debò. Aquesta distinció mossega durant l’automatització, perquè un script que funciona amb una adreça pot fallar amb un nom, i l’error sembla una passarel·la espatllada en lloc d’un argument rebutjat.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Els noms de servei estan localitzats i són editables per l’usuari, així que un script que codifica Wi-Fi es trenca a la primera màquina configurada en una altra llengua. Llegiu el nom de l’ordre de llista i passeu-lo en lloc d’endevinar.

Certificats sense un client propietari

Alguns desplegaments necessiten un certificat de client i res més propietari, i aquest és el cas intermedi que val la pena provar abans d’acceptar un controlador. Col·locar un certificat a l’emmagatzematge de la plataforma està suportat; no és el mateix acte que deixar-hi una arrel de proveïdor i confiar que el client la trobi. El primer és una col·locació deliberada; el segon és una suposició amb un tiquet de suport adjunt.

El detall que enxampa la gent és quin emmagatzematge llegeix el client. Un certificat a l’emmagatzematge d’usuari és invisible per a un client configurat per a l’emmagatzematge de la màquina, i el missatge que rebeu diu que falta el certificat, no que sigui al lloc equivocat. Comproveu tots dos emmagatzematges abans de concloure que el certificat és dolent. Anoteu quin dels dos fa servir la configuració que funciona, perquè aquesta nota sobreviu al certificat quan es reconstrueix la màquina.

Windows separa els dos emmagatzematges explícitament, i macOS separa el clauer d’inici de sessió del clauer del sistema. Els noms difereixen, però el mode de fallada és idèntic: un certificat vàlid que el client no mira mai.

Què obliga a un instal·lador

Algunes passarel·les lliguen el client a un emmagatzematge de certificats privat, a un agent de postura o a un intercanvi d’inici de sessió que el sistema operatiu no pot fer. Els desplegaments construïts sobre maquinari Check Point, Cisco o Fortinet sovint hi acaben, i en aquests el client integrat no és una drecera. Una substitució de tercers pot connectar i tot i així violar la política, cosa que ho converteix en una decisió de seguretat i no de comoditat. Instal·leu el que la política exigeix i anoteu el motiu al costat de la versió de l’instal·lador.

Aquest registre és la part que la gent s’estalvia i la part que estalvia una setmana al següent administrador: protocol, mètode d’autenticació, família d’adreces i sufix requerit, amb una línia de justificació per a cada binari que s’hagi hagut d’afegir. Poseu-lo on viuen les notes de l’instal·lador i no en un fil de xat. Dues línies de documentació eviten una recerca repetida.