VPN profil jen s PCF: na co se ptát před migrací

Někdo vám předá soubor .pcf a notebook a očekává, že spojení bude fungovat přesně jako před lety. Obvykle nebude, a formát souboru je příčinou jen zřídka. PCF zaznamenává parametry, které starý Cisco VPN Client potřeboval k dosažení jednoho konkrétního koncentrátoru; neříká nic o tom, zda s touto službou dnešní klient ještě dokáže mluvit. Soubor je důkaz o minulém spojení, ne smlouva pro to příští.

Oddělit tento důkaz od požadavků je celý úkol. Vlastník brány vám dluží podporovanou kombinaci klienta, protokolu, metody ověřování a formátu profilu, což je jiná otázka než to, zda nějaká aplikace otevře váš starý profil.

Co soubor ve vaší ruce skutečně zaznamenává

PCF je malý profil položek připojení: hostitel nebo dvojice primární a záložní, název skupiny a pokyny, jak má klient předkládat přihlašovací údaje. Nenese žádné vyjednávání protokolu, žádné rozhodnutí o důvěře a žádné tvrzení o současných schopnostech brány. Přečtení vám řekne, kam starý klient volal a pod jakým názvem skupiny, a tato část je opravdu užitečný kontext pro toho, kdo spravuje hlavní uzel.

Co vám říct nemůže, je to, zda služba za tímto názvem hostitele stále přijímá stejný protokol, nebo zda účet přetrvává ve formě odpovídající pokynům. Tyto odpovědi žijí na bráně a v úložišti identit, tak se ptejte tam, než začnete stavět.

Tři požadavky, které vypadají jako jeden

První požadavek je kompatibilita na drátě: klient musí implementovat protokol vzdáleného přístupu, který brána ukončuje. Druhý je ověřování, kde metoda, kterou brána vyžaduje — certifikát, skupinové přihlašovací údaje plus MFA, nebo EAP — musí být taková, kterou klient skutečně dokáže provést. Třetí je politika: rozdělený tunel, DNS, fondy adres a všechny kontroly stavu, to vše nakonfigurované na bráně a klientovi doručené v profilu, který musí přijmout.

PCF nabízí slabý důkaz o druhém požadavku a v podstatě žádný o zbylých dvou. Funkce importu hranici dále rozmazává: klient, který mapuje starší pole do vlastního formátu, může při importu uspět, ale nepřipojit se, a opak je také možný.

Pět otázek, které dají použitelnou odpověď

Pošlete otázky místo souboru. Která kombinace služby vzdáleného přístupu a klienta je dnes podporovaná; který protokol tato služba vystavuje do internetu; která metoda ověřování a cesta registrace platí; který profil, kořeny důvěry a skupinová politika nebo politika MFA k tomu patří; a které části se liší od starého spojení. Každá odpověď odpovídá jednomu ze tří požadavků výše.

Tento seznam mění diskusi o formátech souborů v rozhodnutí o podpoře a obvykle vrátí odkaz na dokumentaci a jmenovitě určeného vlastníka místo pokrčení rameny. Také vám brzy řekne, zda je migrace novým profilem proti existující službě, nebo změnou brány, kterou ještě nikdo nenaplánoval. Ptejte se písemně, protože odpovědi se stanou akceptačními kritérii pro to, co budete stavět dál. Ponechte v tiketu i starý název skupiny, protože to je často nejrychlejší cesta, jak operátor najde odpovídající politiku.

Přejmenování nic nepřekládá

Cisco Secure Client dokumentuje profily XML s vlastními volbami protokolu, takže přejmenování .pcf na .xml neprodukuje ani XML, ani nastavení. Vložení názvu hostitele do souboru OpenVPN neudělá z brány IPsec mluvčího OpenVPN a nativní klient IKEv2 se nestane kompatibilním se starší službou jen proto, že se oba popisují jako IPsec.

Každý z těchto kroků mění štítek a chování na drátě nechává nedotčené, a proto výsledná porucha vypadá nesouvisející s úpravou. Když brána nemůže nabídnout to, co nový klient implementuje, poctivé možnosti jsou klient, který stále mluví starým protokolem, nebo plánovaná migrace brány. Hádání mezi nimi stojí týdny a nic nenaučí.

Berte starý profil jako citlivý materiál

Starý profil může obsahovat interní název hostitele, název skupiny a někdy uložené přihlašovací údaje, což je přesně to, co sbírají veřejné konvertory a vlákna na fórech. Nechte správce přečíst pole schváleným kanálem, místo abyste soubor někam nahrávali.

Odolejte pokušení postavit migraci na beta klientovi, nepodporovaném hostujícím systému nebo slabším ověřování zvoleném, aby udrželo zastaralý klient při životě. Staré ceny a stránky ke stažení nejsou lepším důkazem než samotné PCF, protože popisují oprávnění z jiné éry, nikoli smlouvu, kterou nyní potřebujete.