Proffil VPN PCF yn unig: beth i'w ofyn cyn mudo

Mae rhywun yn rhoi ffeil .pcf a gliniadur i chi ac yn disgwyl i'r cysylltiad weithio'n union fel y gwnaeth flynyddoedd yn ôl. Fel arfer ni fydd, ac anaml y ffurfwedd y ffeil yw'r rheswm. Mae PCF yn cofnodi'r paramedrau yr oedd hen Cisco VPN Client ei angen i gyrraedd un crynodydd penodol; nid yw'n dweud dim am a all cleient cyfredol siarad â'r gwasanaeth hwnnw o hyd. Tystiolaeth am gysylltiad y gorffennol yw'r ffeil, nid contract ar gyfer yr un nesaf.

Gwahanu'r dystiolaeth honno oddi wrth y gofynion yw'r dasg gyfan. Yr hyn y mae perchennog y giât yn ei ddyled i chi yw cyfuniad â chefnogaeth o gleient, protocol, dull dilysu a fformat proffil, sy'n gwestiwn gwahanol i ba un a fydd rhyw raglen yn agor eich hen broffil.

Beth mae'r ffeil yn eich llaw yn ei chofnodi mewn gwirionedd

Mae PCF yn broffil bach o gofnodion cysylltiad: gwesteiwr neu bâr cynradd ac wrth gefn, enw grŵp, ac awgrymiadau am sut y dylai'r cleient gyflwyno manylion cyfrif. Nid yw'n cynnwys trafodaeth protocol, dim penderfyniad ymddiriedaeth a dim datganiad o alluoedd presennol y giât. Mae ei ddarllen yn dweud wrthych ble y ffoniodd yr hen gleient ac o dan ba enw grŵp, ac mae'r rhan honno'n gyd-destun gwirioneddol ddefnyddiol i bwy bynnag sy'n berchen ar y prif ben.

Yr hyn na all ei ddweud wrthych yw a yw'r gwasanaeth y tu ôl i'r enw gwesteiwr hwnnw'n dal i dderbyn yr un protocol, neu a yw'r cyfrif yn para ar ffurf sy'n cyfateb i'r awgrymiadau. Mae'r atebion hynny'n byw ar y giât ac yn y storfa hunaniaeth, felly gofynnwch yno cyn adeiladu.

Tri gofyn sy'n edrych fel un

Y gofyn cyntaf yw cydnawsedd gwifren: rhaid i'r cleient weithredu'r protocol mynediad o bell y mae'r giât yn ei derfynu. Yr ail yw dilysu, lle mae'n rhaid i'r dull y mae'r giât yn ei fynnu — tystysgrif, manylion cyfrif grŵp ynghyd â MFA, neu EAP — fod yn un y gall y cleient ei gyflawni mewn gwirionedd. Y trydydd yw polisi, sef tiwnelu hollt, DNS, cronfeydd cyfeiriadau ac unrhyw wiriadau ymddwyn, i gyd wedi'u ffurfweddu ar y giât ac wedi'u hanfon i'r cleient mewn proffil y mae'n rhaid iddo ei dderbyn.

Mae PCF yn cynnig tystiolaeth wan am yr ail ofyn ac yn y bôn dim am y ddau arall. Mae nodwedd mewnforio'n cymylu'r ffin ymhellach: gall cleient sy'n mapio hen feysydd i'w fformat ei hun lwyddo i fewnforio tra'n methu cysylltu, ac mae'r gwrthwyneb yn bosibl hefyd.

Pum cwestiwn sy'n rhoi ateb defnyddiadwy

Anfonwch gwestiynau yn lle'r ffeil. Pa gyfuniad o wasanaeth mynediad o bell a chleient a gefnogir heddiw; pa brotocol mae'r gwasanaeth hwnnw'n ei gyflwyno i'r rhyngrwyd; pa ddull dilysu a llwybr cofrestru sy'n berthnasol; pa broffil, angorau ymddiriedaeth a pholisi grŵp neu MFA sy'n perthyn iddo; a pha rannau sy'n wahanol i'r hen gysylltiad. Mae pob ateb yn cyfateb i un o'r tri gofyn uchod.

Mae'r rhestr honno'n troi trafodaeth am fformatau ffeiliau yn benderfyniad am gefnogaeth, ac fel arfer mae'n dychwelyd dolen dogfennaeth a pherchennog a enwir yn lle codi ysgwydd. Mae hefyd yn dweud wrthych yn gynnar a yw'r mudo yn broffil newydd yn erbyn gwasanaeth sy'n bodoli, neu'n newid giât nad oes neb wedi'i drefnu eto. Gofynnwch yn ysgrifenedig, oherwydd daw'r atebion yn faen prawf derbyn ar gyfer beth bynnag a adeiladwch nesaf. Cadwch yr hen enw grŵp yn y tocyn hefyd, gan mai dyma'n aml y ffordd gyflymaf i'r gweithredwr ddod o hyd i'r polisi cyfatebol.

Nid yw ailenwi'n cyfieithu dim

Mae Cisco Secure Client yn dogfennu proffiliau XML gyda'i ddewisiadau protocol ei hun, felly nid yw ailenwi .pcf yn .xml yn cynhyrchu XML na gosodiadau. Nid yw gludo enw gwesteiwr i ffeil OpenVPN yn gwneud giât IPsec yn siarad OpenVPN, ac nid yw cleient IKEv2 brodorol yn dod yn gydnaws â gwasanaeth hŷn dim ond oherwydd bod y ddau'n cael eu disgrifio fel IPsec.

Mae pob un o'r symudiadau hynny'n newid label ac yn gadael ymddygiad y wifren yn ddigyfnewid, a dyna pam mae'r methiant canlyniadol yn edrych yn ddi-gysylltiad â'r golygiad. Pan na all y giât gynnig yr hyn y mae'r cleient newydd yn ei weithredu, y dewisiadau gonest yw cleient sy'n dal i siarad yr hen brotocol neu fudo giât wedi'i gynllunio. Mae dyfalu rhyngddynt yn costio wythnosau ac yn dysgu dim.

Triniwch yr hen broffil fel deunydd sensitif

Gall hen broffil gynnwys enw gwesteiwr mewnol, enw grŵp ac weithiau ddeunydd manylion cyfrif wedi'i storio, sef yn union y math o beth y mae trawsnewidyddion cyhoeddus ac edafedd fforwm yn eu casglu. Gadewch i weinyddwr ddarllen y meysydd trwy sianel gymeradwy yn lle llwytho'r ffeil i unrhyw le.

Gwrthwynebwch y demtasiwn i wneud y mudo'n ddibynnol ar gleient beta, system westai heb gefnogaeth neu ddilysu gwannach a ddewiswyd i gadw hen gleient yn fyw. Nid yw hen brisiau a thudalennau lawrlwytho'n dystiolaeth well na'r PCF ei hun, gan eu bod yn disgrifio hawl o gyfnod arall yn hytrach na'r contract sydd ei angen arnoch nawr.