Co přednastavit před prvním připojením uživatele k VPN

První připojení k VPN málokdy selže na tunelu. Selže, když běžný uživatel v nespravované síti následuje pokyny, které napsal někdo, kdo už měl certifikát nainstalovaný. Profil, řetězec důvěry a přihlašovací údaj jsou konfigurace a všechny tři mohou být dodány dřív, než se uživatel zapojí. Tomu uživateli mají zůstat čtyři akce bez rozhodování uvnitř. Každý krok navíc, který v předávce necháte, se změní v hovor na podporu, který začíná tím, že někdo nahlas čte dialogové okno.

Co profil připojení skutečně nese

Profil VPN není zástupce ani záložka. Je to pojmenovaný objekt v úložišti připojení operačního systému, který drží adresu serveru, typ tunelu, metodu ověřování a často trasy, suffixy DNS a pravidla spouštění, jež určují, kdy se připojí. Ve Windows tato pole odpovídají uzlům poskytovatele konfigurační služby VPNv2, a proto jeden profil může dorazit přes Intune, Configuration Manager, zřizovací balíček nebo ručně importovaný soubor XML.

Klient aplikuje tento objekt v pevném pořadí: ověří certifikát serveru proti důvěryhodným kořenům, vyjedná tunel a teprve potom použije směrování a překlad názvů, než aplikace uvidí síť. Toto pořadí vysvětluje většinu hlášení o připojení, které tvrdí, že je navázané, zatímco se nic nenačítá: ověření prošlo a selhalo DNS nebo seznam tras. Čtěte profil jako jeden objekt se sledem kroků, ne jako sadu nezávislých přepínačů. Chybějící kořen důvěry selže v prvním kroku, dřív než se nabídne jakýkoli údaj, a proto dává obecnou chybu místo výzvy k přihlášení.

Materiál důvěry je pole, které se nejčastěji propašuje ručně. Certifikát CA, který podepisuje bránu, musí být přítomen před prvním pokusem a ověřování názvu serveru musí zůstat zapnuté s odpovídajícím názvem; vypnutí ověřování, aby test prošel, mění problém s ověřováním v tiché odposlouchávání, které žádný uživatel nemůže odhalit.

Čtyři volby, které by uživatelé nikdy neměli dělat

Protokol a typ tunelu přicházejí první: vyberte jednu podporovanou kombinaci na platformu a zdokumentujte stranu brány, protože známé obchodní jméno není prohlášení o kompatibilitě. Následuje koncový bod: jedno jméno hostitele, které se veřejně přeloží a odpovídá certifikátu, jenž brána předkládá. Ověřování patří systému identity, ať už jde o certifikát, uživatelské jméno s druhým faktorem, nebo obojí. Nic z toho není uživatelská preference a nic by se nemělo objevit jako otázka v pokynech.

Čtvrtá volba je rozsah: plný tunel, nebo rozdělený tunel, a které prefixy a suffixy DNS v něm cestují. Rozdělený tunel bez interních suffixů uniká překlad názvů k libovolnému resolveru, který místní síť nabídne, a plný tunel bez plánu místních zdrojů rozbíjí tiskárny a zachytávací portály. Obě jsou rozhodnutí správce s uživatelsky viditelnými důsledky, a právě proto je má uživatel dostat už vyřešené.

Držte název připojení nudný a stabilní. Uživatelé ho nahlas čtou podpoře, hledají ho v seznamu klienta a pamatují si ho mezi změnami hesla; přejmenování uprostřed migrace vytváří nárůst požadavků, který nemá nic společného s tím, zda VPN funguje.

Dodávejte identitu na osobu nebo na zařízení

Profil je veřejný a soukromý klíč ne. Častá chyba při zavádění je exportovat jeden funkční profil spolu s jeho certifikátem a předávat soubor z ruky do ruky, čímž se každý notebook stane klonem jedné identity a odvolání se změní v rozhodnutí vše, nebo nic. Registrujte údaje podporovaným postupem: certifikát na zařízení z kanálu správy, nebo údaj na uživatele od poskytovatele identity.

Tunely zařízení a tunely uživatelů se ověřují v různých okamžicích a tento rozdíl určuje, který údaj potřebujete. Tunel zařízení, který se připojuje před přihlášením, potřebuje certifikát stroje a profil dostupný systému. Tunel uživatele, který začíná po přihlášení, může použít vlastní údaj uživatele a neměl by vyžadovat práva správce. Přidávat síťový přístup na úrovni stroje jen proto, aby z něčího rána zmizelo jedno kliknutí, je špatná výměna, protože rozšiřuje, kam se nedohlednuté zařízení dostane.

Registrace je také místo, kde se rozhoduje o cestě obnovy. Obnova certifikátu nebo změna hesla se musí dostat k zařízení, zatímco tunel leží, takže zřizování, poskytovatel identity a brána se musí shodnout, jak se to stane; pokud jediná cesta k opravě profilu vede tunelem, který tento profil poskytuje, je klíč zamčený uvnitř krabice.

Sladěte doručovací kanál s klientem

Nativní klienti a klienti třetích stran se dodávají různě. Profily Windows lze doručit jako VPNv2 ProfileXML přes Intune nebo Configuration Manager, ale ne každý uzel je vystaven na každém povrchu správy a nastavení směrování, DNS a spouštění se liší podle nástroje a verze Windows. Potvrďte, které pole lze nasadit, než slíbíte zavedení bez zásahu, protože reference možností profilu dokumentuje nastavení, která některé cesty doručení stále nedokážou zadat.

Klientské aplikace dodavatelů přidávají druhou vrstvu, protože binárka, profil a politika centrálního uzlu jsou samostatné artefakty. Cisco Secure Client například podporuje předběžné nasazení balíčku i jeho profilu a verzi klienta je třeba sladit s konfigurací brány; instalace samotného balíčku nechá uživatele v průvodci.

Ať zvolíte jakýkoli kanál, mějte pro profil jeden zdroj pravdy. Opravený profil, který starší balíček při další kontrole přepíše, je opakovaný incident a trvalým řešením je verzovaná konfigurace, ne ruční úprava na každém stroji.

Otestujte předávku jako nový uživatel, potom otestujte obnovu

Pilotujte s běžným účtem na zařízení, které se nikdy nepřipojilo, bez uložené relace správce a bez předem registrovaného certifikátu. Potvrďte, že se profil objeví v seznamu, že výzva k přihlášení odpovídá pokynům a že se pojmenovaný interní zdroj otevře, a potom zkontrolujte překlad názvů a rozsah směrování, místo abyste se zastavili u ikony připojení.

Dotazujte úložiště profilů zařízení, aby test přinesl důkaz, a ne dojem.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Potom projděte události, se kterými se uživatelé skutečně setkávají: vynucená změna hesla, obnovený certifikát, vnucená aktualizace klienta a síť, kterou v pilotu nikdo nepoužil. Každá má buď fungovat, nebo selhat tak, jak pokyny popisují. Zkuste i síť, která blokuje port VPN, protože první pokus na hotelovém Wi-Fi je místo, kde domácí úspěch přestává pomáhat. Zapište verzi klienta a build OS vedle každého výsledku, protože příští hlášení dorazí bez nich.

Držte předávku pro uživatele na čtyřech řádcích: název připojení, očekávané přihlášení, zdroj, který dokazuje úspěch, a kam poslat text chyby. Nikdo by neměl být žádán o heslo nebo exportovaný klíč, aby prokázal selhání. Architektura, vnitřek profilu a postup obnovy patří do příručky správce, vedle verze klienta, se kterou byly testovány.