A all un gwasanaeth VPN gwmpasu desktops Windows, Mac a Linux?

Tri gliniadur mewn un tîm, tri dewislen VPN wahanol, a thocyn sy'n dweud bod y cysylltiad yn gweithio ym mhob man heblaw'r Mac. Gall y cynllun y tu ôl i'r cleientiaid hynny fod yn union yr un fath hyd yn oed pan nad yw'r dewislenni. Mae'r hyn sy'n rhaid iddo gyd-fynd yn gulach nag y mae'r rhan fwyaf o osodiadau'n tybio: un hunaniaeth porth, un math o gymhwyster, un set o lwybrau ac un polisi datryswr. Ysgrifennwch y pedwar hynny cyn i unrhyw un allforio proffil, a bydd y gwaith platfform yn troi'n rhestr wirio yn lle ymchwiliad.

Dechreuwch gyda'r contract mynediad, nid y ffeil cleient

Mae'r contract mynediad yn bum llinell y gall adolygydd eu gwirio heb agor consol gwerthwr. Mae'n enwi y rhagddodiadau preifat sy'n rhaid bod yn gyrraeddadwy, yr enwau mewnol sy'n rhaid eu datrys, y datryswr sy'n ateb ar eu cyfer, y traffig y caniateir iddo aros ar y llwybr lleol, a'r dystysgrif porth y dylai'r cleient ddisgwyl ei gweld. Mae popeth arall yn y gosodiad yn gyfieithiad o'r llinellau hynny i fformat ffeil.

Mae enghraifft o swyddfa yn gwneud y siâp yn goncrit: gweinyddwyr cymwysiadau yn 10.60.0.0/16, enwau preifat o dan corp.example, datryswr mewnol yn 10.61.0.53, a phori cyffredin yn cael ei adael ar ba bynnag lwybr y mae'r ddyfais eisoes yn ei ddefnyddio. Mae'r eitem olaf yn benderfyniad polisi yn hytrach na diofyn cleient, a bydd nifer o gleientiaid yn anfon popeth drwy'r twnnel os nad oes neb yn dweud fel arall. Cofnodwch y contract gyda dyddiad a pherchennog, oherwydd y cofnod hwnnw sy'n dweud wrthych yn nes ymlaen a newidiodd y twnnel neu'r polisi.

Dewiswch un protocol ac un pâr dilysu y gallwch ei amddiffyn

IKEv2 gyda dilysu porth yn seiliedig ar dystysgrif ac EAP ar gyfer y defnyddiwr yw'r dewis arferol pan fo'n rhaid i'r tair platfform weithio heb feddalwedd ychwanegol, gan fod Windows, macOS a NetworkManager pob un yn cludo cleient IKEv2. Y drafferth yw bod cefnogi IKEv2 yn disgrifio label, nid set o nodweddion. Mae dulliau EAP, allweddi â chefnogaeth caledwedd, mapio tystysgrif i gyfrif ac ailgysylltu awtomatig yn cael eu gweithredu fesul platfform. Mae cyfuniad sy'n gweithio ar ddwy o'r tair yn ddigon cyffredin i chi ei dybio nes iddo gael ei brofi.

Profwch y pâr ar bob platfform darged cyn i'r canllaw defnydd gael ei ysgrifennu, nid ar ôl. Mae porth sy'n cynnig EAP-MSCHAPv2 ac EAP-TLS yn rhoi lle i chi encilio, ar yr amod bod yr enciliad wedi'i ddogfennu fel un a gefnogir yn hytrach na'i ddarganfod yn ystod digwyddiad. Mae dwy lwybr a gefnogir yn yswiriant rhad; mae trydedd lwybr heb ei dogfennu yn docyn yn y dyfodol.

Pan nad oes unrhyw bâr yn cwmpasu'r tri chleient, y dewisiadau gonest yw ychwanegu cleient, ychwanegu proffil porth, neu gulhau'r rhestr o blatfformau a gefnogir. Nid yw diffodd dilysu tystysgrifau ar y platfform sy'n cwyno fwyaf ymhlith y rheini. Mae'r newid hwnnw'n troi bwlch cydweddoldeb yn risg rhyng-gipio, ac nid oes unrhyw gam diweddarach yn y gosodiad yn ei atgyweirio.

Adeiladwch un arteffact fesul platfform o'r contract

Mae Windows yn cymryd proffil VPNv2, a ddarperir gan MDM neu a grëir yn lleol gyda Add-VpnConnection ynghyd â'i lwyth XML. Y rhannau sy'n brathu yw cwmpas ac ymddiriedaeth. Mae proffil â chwmpas dyfais a phroffil â chwmpas defnyddiwr yn gosod mewn storfa wahanol, felly rhaid i'r dystysgrif y mae'r cleient ei hangen fod yn y storfa sy'n cyfateb i'r cwmpas a ddewiswyd. Mae cael y pâr hwnnw'n anghywir yn rhoi proffil sy'n mewnforio'n lân ac wedyn yn methu ar y cysylltiad cyntaf.

Mae macOS yn cymryd proffil ffurfweddu gyda'r llwyth VPN a reolir, wedi'i lofnodi a'i wthio drwy MDM neu ei osod â llaw ar gyfer peilot. Mae'r hunaniaeth a'r gadwyn CA yn teithio fel llwythi ar wahân, a dyna pam y gall proffil osod heb gwyn ac eto fethu ar adeg cysylltu. Gwiriwch y rhestr llwythi, nid canlyniad y gosod yn unig.

Mae Linux yn dibynnu ar y backend y tu ôl i NetworkManager, ac mae strongSwan a'r ategyn NetworkManager yn becynnau ar wahân. Mae priodweddau cysylltiad yn benodol i'r ategyn yn hytrach nag yn allweddi VPN cyffredinol, felly mae allwedd a gopïwyd o ategyn arall yn aml yn arbed heb wall ac wedyn yn methu wrth actifadu. Adeiladwch y cysylltiad ar ddelwedd lân i gadarnhau bod yr ategyn yn bresennol lle bydd yn rhedeg mewn gwirionedd.

Mae'r tri arteffact yn wahanol o ran fformat, ond mae pob un yn amgodio'r un pum llinell contract. Dyna'r prawf a yw arteffact wedi gorffen: mae pob llinell yn cael ei chynrychioli yn rhywle, ac ni chafodd dim ychwanegol ei ddyfeisio ar y ffordd.

Gwiriwch lwybrau, datryswr ac ailgysylltu ar gyfrif glân

Nid yw wedi cysylltu yn brawf derbyn. Ar Windows mae Get-VpnConnection yn dangos y proffil ac mae route print yn dangos a laniodd y rhagddodiad preifat ar ryngwyneb y twnnel. Ar macOS mae scutil --nc list yn cadarnhau'r gwasanaeth gweithredol tra mae scutil --dns yn dangos trefn y datryswr y bydd y system yn ei defnyddio mewn gwirionedd.

Ar Linux mae nmcli connection show --active yn profi bod y cysylltiad i fyny ac mae resolvectl status yn dangos DNS fesul dolen. Mae datryswr yn y ffeil gysylltu ond yn absennol o'r allbwn fesul dolen yn golygu nad yw DNS hollt yn cael ei gymhwyso. Dyna'r gwahaniaeth rhwng enwau sy'n datrys ac enwau sy'n datrys drwy'r twnnel, ac mae'n newid pa dîm cymorth sy'n berchen ar y cam nesaf. Cymharwch yr allbwn fesul dolen cyn ac ar ôl i'r cysylltiad godi, nid ar ôl yn unig.

Rhedwch y gwiriad cyfan ar gyfrif newydd heb gymwysterau wedi'u cadw a heb dystysgrif a osodwyd gan weinyddwr. Yna ei ailadroddwch ar ôl cysgu ac ailafael, ac unwaith eto ar ôl gorfodi ail-fynediad cymhwyster. Mae'r ddau drosglwyddiad hynny'n dod â'r rhan fwyaf o'r methiannau ailgysylltu i'r amlwg nad yw cysylltiad cyntaf byth yn eu dangos.

Fersiynwch y pecyn a chadwch lwybr cwympo'n ôl

Tagiwch bob pecyn platfform â'r adolygiad contract y mae'n ei weithredu, a nodwch y fersiynau cleient a phorth y gwnaethoch ei dderbyn yn eu herbyn. Pan fydd ymddygiad yn newid ar ôl diweddariad cleient, mae'r tag yn cyfeirio at gontract i'w ailbrofi yn lle ffeil i ddyfalu amdani.

Cadwch y pecyn blaenorol ar gyfer pob platfform yn adferadwy, ac ysgrifennwch ei orchymyn tynnu wrth ei ymyl. Nid yw dad-osod proffil VPN yn ddelwedd drych o'i osod ar Windows, macOS na Linux, ac mae'r gwahaniaethau'n ymddangos ar yr adeg waethaf bosibl. Ymarferwch y tynnu unwaith ar ddyfais sbâr fel bod y gofrestr yn dod yn gynllun yn hytrach nag yn obaith.