Kun-PCF VPN-profil: hvad du skal spørge om, før du migrerer

Nogen giver dig en .pcf-fil og en bærbar computer og forventer, at forbindelsen virker præcis som for år tilbage. Det gør den sjældent, og filformatet er sjældent årsagen. En PCF registrerer de parametre, som en gammel Cisco VPN Client havde brug for for at nå én bestemt koncentrator; den siger intet om, hvorvidt en nutidig klient stadig kan tale med den tjeneste. Filen er bevis på en tidligere forbindelse, ikke en kontrakt for den næste.

At skille det bevis fra kravene er hele opgaven. Gatewayens ejer skylder dig en understøttet kombination af klient, protokol, godkendelsesmetode og profilformat, hvilket er et andet spørgsmål end, hvorvidt et eller andet program åbner din gamle profil.

Hvad filen i din hånd egentlig registrerer

En PCF er en lille profil af forbindelsesposter: en vært eller et primær- og backup-par, et gruppenavn og hentydninger til, hvordan klienten skal fremvise legitimationsoplysninger. Den indeholder ingen protokolforhandling, ingen tillidsbeslutning og ingen erklæring om gatewayens nuværende formåen. At læse den fortæller, hvor den gamle klient ringede op, og under hvilket gruppenavn, og den del er virkelig brugbar kontekst for den, der ejer hovedenden.

Det, den ikke kan fortælle, er, om tjenesten bag værtsnavnet stadig accepterer samme protokol, eller om kontoen findes i en form, der matcher hentydningerne. De svar findes på gatewayen og i identitetslageret, så spørg der, før du bygger.

Tre krav, der ligner ét

Det første krav er trådkompatibilitet: klienten skal implementere den fjernadgangsprotokol, som gatewayen afslutter. Det andet er godkendelse, hvor den metode, gatewayen kræver — certifikat, gruppelegitimation plus MFA eller EAP — skal være en, klienten faktisk kan udføre. Det tredje er politik: split tunnelling, DNS, adressepuljer og eventuelle posture-checks, alt konfigureret på gatewayen og leveret til klienten i en profil, den skal acceptere.

En PCF giver svagt bevis for det andet krav og stort set intet for de to andre. En importfunktion slører grænsen yderligere: en klient, der mapper gamle felter over i sit eget format, kan lykkes med importen og fejle med at forbinde, og det omvendte er også muligt.

Fem spørgsmål, der giver et brugbart svar

Send spørgsmål i stedet for filen. Hvilken kombination af fjernadgangstjeneste og klient understøttes i dag; hvilken protokol tjenesten viser mod internettet; hvilken godkendelsesmetode og tilmeldingsvej der gælder; hvilken profil, hvilke tillidsankre og hvilken gruppe- eller MFA-politik der hører til; og hvilke dele der afviger fra den gamle forbindelse. Hvert svar svarer til et af de tre krav ovenfor.

Den liste gør en diskussion om filformater til en beslutning om support og giver normalt et dokumentationslink og en navngivet ejer i stedet for et skuldertræk. Den fortæller dig også tidligt, om migreringen er en ny profil mod en eksisterende tjeneste, eller en gatewayændring, som ingen har planlagt endnu. Spørg skriftligt, fordi svarene bliver acceptkriterier for det, du bygger næste gang. Behold også det gamle gruppenavn i sagen, da det ofte er den hurtigste måde for operatøren at finde den matchende politik.

Omdøbning oversætter ingenting

Cisco Secure Client dokumenterer XML-profiler med sine egne protokolvalg, så at omdøbe en .pcf til .xml giver hverken XML eller indstillinger. At indsætte et værtsnavn i en OpenVPN-fil får ikke en IPsec-gateway til at tale OpenVPN, og en indbygget IKEv2-klient bliver ikke kompatibel med en ældre tjeneste, blot fordi begge beskrives som IPsec.

Hvert af de træk ændrer en etiket og lader trådadfærden urørt, og derfor virker den resulterende fejl urelateret til rettelsen. Når gatewayen ikke kan tilbyde det, den nye klient implementerer, er de ærlige muligheder en klient, der stadig taler den gamle protokol, eller en planlagt gatewaymigrering. At gætte mellem dem koster uger og lærer intet.

Behandl den gamle profil som følsomt materiale

En gammel profil kan indeholde et internt værtsnavn, et gruppenavn og nogle gange lagrede legitimationsoplysninger, hvilket er præcis den slags ting offentlige konvertere og forumtråde samler. Lad en administrator læse felterne gennem en godkendt kanal i stedet for at uploade filen noget sted.

Modstå fristelsen til at gøre migreringen afhængig af en betaklient, et ikke-understøttet gæstesystem eller svagere godkendelse valgt for at holde en forældet klient i live. Gamle priser og downloadssider er ikke bedre bevis end selve PCF'en, fordi de beskriver en rettighed fra en anden æra og ikke den kontrakt, du nu har brug for.