Které VPN protokoly váš operační systém už umí?

Než stáhnete dalšího klienta, zjistěte, co operační systém už implementuje, protože odpověď často stačí k tomu, abyste instalátor úplně přeskočili. Windows, macOS a ChromeOS dodávají pevný a krátký seznam tunelových protokolů a brána, která některý z nich umí, nepotřebuje žádný další ovladač, službu ani cestu aktualizace. Nerozhoduje o tom jméno výrobce na brožuře. Rozhoduje protokol, jak se koncový bod ověřuje a jakou adresu očekává.

Ptejte se na protokol, ne na název produktu

Název produktu říká o tom, co prochází drátem, velmi málo. Dvě brány prodávané pod stejnou značkou mohou vyžadovat úplně jiné tunely a jedna může přijímat vestavěného klienta, zatímco druhá odmítá vše kromě vlastního portálu. Dva správci popisující stejnou krabici se mohou neshodnout a oba mít pravdu, protože popisují různé vrstvy. Tunel pod tím rozhoduje o tom, zda je instalátor potřeba.

Položte tři otázky tomu, kdo bránu spravuje: který tunelový protokol, která metoda ověřování a kterou adresu a příponu DNS musí klient přijmout. Ptejte se na protokol jménem, a když odpověď přijde jako název produktu, vysvětlete, proč potřebujete protokol. Ty tři odpovědi vyřeší otázku klienta dřív, než se stáhne jakýkoli software.

Má to důvod, proč název produktu přežívá v tolika tikketech. URL portálu je to, co uživatelé vidí, a tunel je neviditelný, dokud funguje. Zapsat protokol do předávací poznámky stojí jeden řádek a odstraňuje nejednoznačnost pro každého, kdo přijde později.

Kde vestavěný seznam končí

Nativní seznamy jsou krátké a jejich okraje jsou důležitější než obsah. Platforma, která umí L2TP přes IPsec s předem sdíleným klíčem, nebude umět SSTP, a tento rozdíl rozhoduje o klientovi. Tabulka je řazená podle tunelu, ne podle výrobce, takže si můžete vyhledat protokol, který brána uvedla.

Čtěte tabulku proti požadavkům brány, ne proti brožuře. Pokud je odpověď L2TP přes IPsec s předem sdíleným klíčem, první tři platformy se připojí bez čehokoli dalšího nainstalovaného. Pokud je odpověď OpenVPN, před instalací čehokoli je pokryt jen ChromeOS. Protokol, který se neobjevuje v žádném vestavěném sloupci, je poctivý signál, že přichází instalátor.

Linux je sloupec, který vzdoruje zobecnění. Jeho podpora protokolů žije v démonech a zásuvných modulech, které se distribuce rozhodne zabalit, takže minimální obraz nemusí umět žádný z nich, dokud je nepřidáte, a dvě distribuce se stejnou plochou se mohou lišit.

Sestavte profil z příkazového řádku

Vše, co grafický panel zapíše, je uloženo někde, kam se dostanete, a právě to dělá vestavěný profil automatizovatelným. Windows drží položky VPN v .pbk souborech pod profilem uživatele a pod ProgramData, a rasphone umí vypsat a upravit položky, které seznam sítí nezobrazuje. To je důležité, když se stroj zřizuje skriptem a nikdo nebude proklikávat průvodce. Také to vysvětluje, jak může profil existovat, aniž by se kdy objevil v oznamovací oblasti.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ruční úprava .pbk souboru funguje a je také nejrychlejší cestou k jeho poškození, takže nechte formát na nástroji. macOS drží své služby v systémové konfiguraci a networksetup je oslovuje podle názvu služby; několik přepínačů chce adresu místo názvu hostitele, takže nejdřív přeložte koncový bod a uložte hodnotu, kterou klient skutečně použije. Ten rozdíl kouše při automatizaci, protože skript, který funguje s adresou, může selhat s názvem, a chyba vypadá jako rozbitá brána, ne jako odmítnutý argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Názvy služeb jsou lokalizované a uživatel je může upravovat, takže skript, který natvrdo kóduje Wi-Fi se rozbije na prvním stroji nastaveném na jiný jazyk. Čtěte název z příkazu pro výpis a předávejte ho dál, místo abyste hádali.

Certifikáty bez proprietárního klienta

Některá nasazení potřebují klientský certifikát a nic jiného proprietárního, což je prostřední případ, který stojí za otestování, než přijmete ovladač. Umístění certifikátu do úložiště platformy je podporované; není to stejný úkon jako hodit tam kořen výrobce a věřit, že ho klient najde. První je záměrné umístění; druhé je odhad s přiloženým tiketem podpory.

Detail, který lidi chytí, je to, které úložiště klient čte. Certifikát v uživatelském úložišti je pro klienta nastaveného na úložiště stroje neviditelný a zpráva, kterou dostanete, říká, že certifikát chybí, ne že leží na špatném místě. Zkontrolujte obě úložiště, než usoudíte, že je certifikát špatný. Zapište, které z nich funkční konfigurace používá, protože ta poznámka přežije certifikát, když se stroj přestaví.

Windows obě úložiště výslovně odděluje a macOS odděluje klíčenku pro přihlášení od systémové klíčenky. Názvy se liší, ale režim selhání je stejný: platný certifikát, na který se klient nikdy nepodívá.

Co vynutí instalátor

Některé brány vážou klienta na soukromé úložiště certifikátů, agenta stavu nebo výměnu přihlášení, kterou operační systém nedovede provést. Nasazení na hardwaru Check Point, Cisco nebo Fortinet tam často končí a v nich vestavěný klient není zkratkou. Náhrada třetí strany se může připojit a přesto porušit politiku, což z toho dělá bezpečnostní rozhodnutí, ne rozhodnutí o pohodlí. Nainstalujte, co politika vyžaduje, a zapište důvod vedle verze instalátoru.

Ten záznam je část, kterou lidé přeskakují, a část, která ušetří dalšímu správci týden: protokol, metoda ověřování, rodina adres a požadovaná přípona, s jedním řádkem odůvodnění pro každý binární soubor, který bylo nutné přidat. Umístěte ho tam, kde žijí poznámky k instalátoru, ne do chatovacího vlákna. Dva řádky dokumentace zabrání opakovanému vyšetřování.