Beth i'w ragosod cyn cyntaf cysylltiad VPN defnyddiwr

Anaml y mae cyntaf cysylltiad VPN yn methu yn y tiwnel. Mae'n methu pan fo defnyddiwr cyffredin, ar rwydwaith heb ei reoli, yn dilyn cyfarwyddyd a ysgrifennwyd gan rywun a oedd eisoes wedi gosod y dystysgrif. Mae'r proffil, y gadwyn ymddiriedaeth a'r dystysgrif allweddol yn gyfluniad, a gellir danfon y tri cyn i'r defnyddiwr gymryd rhan. Yr hyn sy'n weddill i'r defnyddiwr hwnnw ddylai fod pedwar cam heb unrhyw benderfyniad ynddynt. Mae pob cam ychwanegol a adewir gennych yn y trosglwyddiad yn troi'n alwad gymorth sy'n dechrau â rhywun yn darllen blwch deialog yn uchel.

Beth mae proffil cysylltiad yn ei gario mewn gwirionedd

Nid llwybr byr nac yn nod tudalen yw proffil VPN. Mae'n wrthrych â enw yn ystorfa gysylltiadau'r system weithredu, sy'n dal cyfeiriad y gweinydd, math y tiwnel, y dull dilysu, ac yn aml y llwybrau, yr ôl-ddodiadau DNS a'r rheolau sbarduno sy'n penderfynu pryd y bydd yn cysylltu. Ar Windows mae'r meysydd hynny'n cyfateb i nodau'r darparwr gwasanaeth cyfluniad VPNv2, a dyna pam y gall un proffil gyrraedd drwy Intune, Configuration Manager, pecyn darparu neu ffeil XML a fewnforiwyd â llaw.

Mae'r cleient yn gosod y gwrthrych hwnnw mewn trefn sefydlog: mae'n dilysu tystysgrif y gweinydd yn erbyn gwreiddiau a ffyddiwyd, yn trafod y tiwnel, ac yna'n unig yn gosod llwybro a datrys enwau cyn i unrhyw raglen weld rhwydwaith. Mae'r drefn honno'n egluro'r rhan fwyaf o adroddiadau am gysylltiad sy'n dweud ei fod yn fyw tra nad yw dim yn llwytho: llwyddodd dilysu a DNS neu'r rhestr llwybrau a fethodd. Darllenwch y proffil fel un gwrthrych â dilyniant, nid fel set o dogloi annibynnol. Mae gwreiddyn ymddiriedaeth ar goll yn methu ar y cam cyntaf, cyn cynnig unrhyw dystysgrif allweddol, a dyna pam y mae'n cynhyrchu gwall cyffredinol yn lle anogwr mewngofnodi.

Yr ymddiriedaeth yw'r maes a smyglir i mewn â llaw amlaf. Rhaid i'r dystysgrif CA sy'n llofnodi'r porth fod yn bresennol cyn yr ymdrech gyntaf, a rhaid i ddilysu enw'r gweinydd aros ymlaen gydag enw sy'n cyfateb; mae analluogi dilysu i wneud i brawf lwyddo yn troi problem ddilysu yn ymyrraeth dawel na all unrhyw ddefnyddiwr ei chanfod.

Y pedwar dewis na ddylai defnyddwyr eu gwneud byth

Protocol a math y tiwnel sydd gyntaf: dewiswch un cyfuniad â chymorth fesul platfform a dogfennwch ochr y porth, oherwydd nid yw enw brand cyfarwydd yn ddatganiad cydnawsedd. Nesaf yw'r pen draw: un enw gwesteiwr sy'n datrys yn gyhoeddus ac yn cyfateb i'r dystysgrif y mae'r porth yn ei chyflwyno. Mae dilysu yn perthyn i'r system hunaniaeth, boed yn dystysgrif, yn enw defnyddiwr ag ail ffactor, neu'r ddau. Nid oes unrhyw un o'r rhain yn ddewis i'r defnyddiwr, ac ni ddylai unrhyw un ymddangos fel cwestiwn yn y cyfarwyddiadau.

Y pedwerydd dewis yw cwmpas: tiwnel llawn neu diwnel hollt, a pha ragosodiadau ac ôl-ddodiadau DNS sy'n teithio ynddo. Mae tiwnel hollt heb ôl-ddodiadau mewnol yn gollwng datrys enwau i ba bynnag ddatryswr a gynigir gan y rhwydwaith lleol, ac mae tiwnel llawn heb gynllun adnoddau lleol yn torri argraffwyr a phyrth caeth. Mae'r ddau yn benderfyniadau gweinyddol ag effeithiau gweladwy i'r defnyddiwr, a dyna'n union pam y dylai'r defnyddiwr eu derbyn eisoes wedi'u setlo.

Cadwch enw'r cysylltiad yn ddiflas ac yn sefydlog. Mae defnyddwyr yn ei ddarllen yn uchel i gymorth, yn ei chwilio yn rhestr y cleient ac yn ei gofio rhwng ailosodiadau cyfrinair; mae ei ailenwi yng nghanol mudo yn creu pigyn cymorth nad oes ganddo ddim i'w wneud ag a yw'r VPN yn gweithio.

Danfonwch hunaniaeth fesul person neu fesul dyfais

Mae'r proffil yn gyhoeddus ac nid yw'r allwedd breifat. Camgymeriad cyflwyno cyffredin yw allforio un proffil sy'n gweithio ynghyd â'i dystysgrif a throsglwyddo'r ffeil o law i law, sy'n gwneud pob gliniadur yn glôn o un hunaniaeth ac yn troi diddymu yn benderfyniad oll-neu-ddim. Cofrestrwch dystysgrifau allweddol drwy'r broses â chymorth yn lle hynny: tystysgrif fesul dyfais o'r sianel reoli, neu dystysgrif allweddol fesul defnyddiwr oddi wrth y darparwr hunaniaeth.

Mae tiwneli dyfais a thiwneli defnyddiwr yn dilysu ar wahanol adegau, a'r gwahaniaeth hwnnw sy'n penderfynu pa dystysgrif allweddol sydd ei hangen arnoch. Mae tiwnel dyfais sy'n cysylltu cyn mewngofnodi angen tystysgrif peiriant a phroffil sydd ar gael i'r system. Gall tiwnel defnyddiwr sy'n dechrau ar ôl mewngofnodi ddefnyddio tystysgrif allweddol y defnyddiwr ei hun ac ni ddylai fod angen hawliau gweinyddwr. Mae ychwanegu mynediad rhwydwaith ar lefel peiriant yn unig er mwyn tynnu un clic o fore rhywun yn fasnach wael, oherwydd mae'n ehangu'r hyn y gall dyfais heb oruchwyliaeth ei gyrraedd.

Cofrestru yw'r lle hefyd y penderfynir ar y llwybr adfer. Rhaid i adnewyddu tystysgrif neu newid cyfrinair gyrraedd y ddyfais tra bo'r tiwnel i lawr, felly rhaid i'r ddarpariaeth, y darparwr hunaniaeth a'r porth gytuno sut y mae hynny'n digwydd; os mai'r unig ffordd i drwsio proffil yw drwy'r tiwnel y mae'r proffil hwnnw'n ei ddarparu, mae'r allwedd wedi'i chloi y tu mewn i'r blwch.

Cydweddwch y sianel gyflenwi â'r cleient

Mae cleientiaid brodorol a rhai trydydd parti yn cael eu danfon yn wahanol. Gellir danfon proffiliau Windows fel VPNv2 ProfileXML drwy Intune neu Configuration Manager, ond nid yw pob nod yn agored ym mhob arwyneb rheoli, ac mae llwybro, DNS a gosodiadau sbarduno yn amrywio yn ôl offeryn ac yn ôl fersiwn Windows. Cadarnhewch pa faes y gellir ei osod cyn addo cyflwyno heb gyffwrdd, oherwydd mae'r cyfeirlyfr opsiynau proffil yn dogfennu gosodiadau na all rhai llwybrau cyflenwi eu gosod o hyd.

Mae cleientiaid gwerthwyr yn ychwanegu ail haen, gan fod y ffeil beiriannol, y proffil a pholisi'r penbwrdd yn arteffactau ar wahân. Mae Cisco Secure Client, er enghraifft, yn cefnogi rhagosod y pecyn a'i broffil, ac mae'n rhaid cydlynu fersiwn y cleient â chyfluniad y porth; mae gosod y pecyn yn unig yn gadael y defnyddiwr mewn dewin.

Pa sianel bynnag a ddewiswch, cadwch un ffynhonnell gwirionedd ar gyfer y proffil. Mae proffil wedi'i drwsio y mae pecyn hŷn yn ei drosysgrifo yn y gwiriad nesaf yn ddigwyddiad ailadroddus, a'r atgyweiriad parhaol yw cyfluniad â fersiynau yn hytrach nag addasiad â llaw ar bob peiriant.

Profwch y trosglwyddiad fel defnyddiwr newydd, yna profwch yr adfer

Peilatwch gyda chyfrif cyffredin ar ddyfais nad yw erioed wedi cysylltu, heb sesiwn arbed y gweinyddwr na thystysgrif wedi'i chofrestru ymlaen llaw. Cadarnhewch fod y proffil yn ymddangos yn y rhestr, bod yr anogwr mewngofnodi yn cyfateb i'r cyfarwyddiadau, a bod adnodd mewnol â enw yn agor, yna gwiriwch ddatrys enwau a chwmpas llwybro yn hytrach na stopio ar eicon wedi'i gysylltu.

Holwch storfeydd proffil y ddyfais fel bod y prawf yn cynhyrchu tystiolaeth yn lle argraff.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Yna ewch drwy'r digwyddiadau y mae defnyddwyr yn eu cyfarfod mewn gwirionedd: ailosodiad cyfrinair gorfodol, tystysgrif wedi'i hadnewyddu, diweddariad cleient wedi'i wthio, a rhwydwaith nad yw neb yn y peilot wedi'i ddefnyddio o'r blaen. Dylai pob un naill ai weithio neu fethu yn y ffordd y mae'r cyfarwyddiadau'n ei disgrifio. Rhowch gynnig ar rwydwaith sy'n rhwystro porth y VPN hefyd, oherwydd ymdrech gyntaf ar Wi-Fi gwesty yw'r lle mae llwyddiant gartref yn peidio â helpu. Cofnodwch fersiwn y cleient ac adeiladwaith y system weithredu wrth bob canlyniad, gan y bydd yr adroddiad nesaf yn cyrraedd hebddyn nhw.

Cadwch y trosglwyddiad i'r defnyddiwr mewn pedair llinell: enw'r cysylltiad, y mewngofnodi a ddisgwylir, yr adnodd sy'n profi llwyddiant, a ble i anfon testun y gwall. Ni ddylid gofyn i unrhyw un am gyfrinair nac allwedd wedi'i hallforio i ddangos methiant. Mae'r bensaernïaeth, mewnol y proffil a'r weithdrefn adfer yn perthyn i lawlyfr rhedeg y gweinyddwr, wedi'i ffeilio wrth fersiwn y cleient y profwyd hwy ag ef.