Hvilke VPN-protokoller taler dit styresystem allerede?

Før du downloader endnu en klient, skal du se, hvad styresystemet allerede implementerer, for svaret er ofte nok til at springe installationsprogrammet helt over. Windows, macOS og ChromeOS leverer hver en fast, kort liste over tunnelprotokoller, og en gateway, der taler en af dem, har ikke brug for nogen ekstra driver, tjeneste eller opdateringsvej. Det er ikke leverandørnavnet på brochuren, der afgør det. Det er protokollen, hvordan endepunktet godkender, og hvilken adresse det forventer.

Spørg efter protokollen, ikke produktnavnet

Et produktnavn siger meget lidt om, hvad der går over ledningen. To gatewayer solgt under samme mærke kan kræve helt forskellige tunneler, og den ene kan acceptere en indbygget klient, mens den anden afviser alt undtagen sin egen portal. To administratorer, der beskriver den samme boks, kan være uenige og have ret begge to, fordi de beskriver forskellige lag. Tunnelen nedenunder er det, der afgør, om der er brug for et installationsprogram.

Stil tre spørgsmål til den, der driver gatewayen: hvilken tunnelprotokol, hvilken godkendelsesmetode og hvilken adresse og DNS-suffiks klienten skal acceptere. Spørg efter protokollen ved navn, og når svaret kommer tilbage som et produktnavn, så forklar, hvorfor det er protokollen, du har brug for. De tre svar afgør klientspørgsmålet, før der downloades software.

Der er en grund til, at produktnavnet overlever i så mange sager. Portalens URL er det, brugerne ser, og tunnelen er usynlig, mens den virker. At skrive protokollen i overdragelsesnoten koster én linje og fjerner tvetydigheden for alle, der kommer efter.

Hvor den indbyggede liste stopper

De oprindelige lister er korte, og deres kanter betyder mere end deres indhold. En platform, der taler L2TP over IPsec med en på forhånd delt nøgle, taler ikke SSTP, og den forskel afgør klienten. Tabellen er ordnet efter tunnel og ikke efter leverandør, så du kan slå den protokol op, som gatewayen nævnte.

Læs tabellen op mod gatewayens krav og ikke op mod en brochure. Hvis svaret er L2TP over IPsec med en på forhånd delt nøgle, forbinder de første tre platforme uden at installere noget ekstra. Hvis svaret er OpenVPN, er kun ChromeOS dækket, før du installerer noget. En protokol, der ikke optræder i nogen indbygget kolonne, er det ærlige signal om, at et installationsprogram er på vej.

Linux er den kolonne, der modstår generalisering. Dets protokolstøtte lever i dæmoner og plugins, som distributionen vælger at pakke, så et minimalt image taler måske ingen af dem, før du tilføjer dem, og to distributioner med samme skrivebord kan være forskellige.

Byg profilen fra en kommandolinje

Alt, hvad det grafiske panel skriver, gemmes et sted, du kan nå, og det er det, der gør en indbygget profil automatiserbar. Windows gemmer VPN-poster i .pbk filer under brugerprofilen og under ProgramData, og rasphone kan vise og redigere poster, som netværkslisten ikke viser. Det betyder noget, når en maskine opsættes af et script, og ingen vil klikke gennem en guide. Det forklarer også, hvordan en profil kan eksistere uden nogensinde at dukke op i proceslinjen.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

At redigere en .pbk fil i hånden virker, og det er også den hurtigste måde at ødelægge den, så lad værktøjet eje formatet. macOS gemmer sine tjenester i systemkonfigurationen, og networksetup henvender sig til dem ved tjenestenavn; flere flag vil have en adresse i stedet for et værtsnavn, så slå først endepunktet op, og gem den værdi, klienten faktisk bruger. Den forskel bider under automatisering, fordi et script, der virker med en adresse, kan fejle med et navn, og fejlen ligner en defekt gateway snarere end et afvist argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Tjenestenavne er lokaliserede og kan redigeres af brugeren, så et script, der hardcoder Wi-Fi brækker på den første maskine, der er sat til et andet sprog. Læs navnet fra liste-kommandoen, og send det videre i stedet for at gætte.

Certifikater uden en leverandørspecifik klient

Nogle udrulninger kræver et klientcertifikat og intet andet leverandørspecifikt, og det er mellemtilfældet, som er værd at teste, før du accepterer en driver. Det er understøttet at placere et certifikat i platformens lager; det er ikke det samme som at smide en leverandørrod ind og stole på, at klienten finder den. Det første er en bevidst placering; det andet er et gæt med en supportbillet hængt ved.

Den detalje, der fanger folk, er, hvilket lager klienten læser. Et certifikat i brugerlageret er usynligt for en klient, der er konfigureret til maskinlageret, og den besked, du får, siger, at certifikatet mangler, ikke at det ligger det forkerte sted. Tjek begge lagre, før du konkluderer, at certifikatet er forkert. Skriv ned, hvilket af dem den fungerende konfiguration bruger, for den note overlever certifikatet, når maskinen genopbygges.

Windows adskiller de to lagre eksplicit, og macOS adskiller login-nøgleringen fra systemnøgleringen. Navnene er forskellige, men fejlmåden er identisk: et gyldigt certifikat, som klienten aldrig kigger på.

Hvad der tvinger et installationsprogram

Nogle gatewayer binder klienten til et privat certifikatlager, en posture-agent eller en login-udveksling, som styresystemet ikke kan udføre. Udrulninger bygget på Check Point-, Cisco- eller Fortinet-hardware ender ofte der, og i dem er den indbyggede klient ikke en genvej. En tredjeparts-erstatning kan forbinde og alligevel bryde politikken, hvilket gør dette til en sikkerhedsbeslutning snarere end en bekvemmelighedsbeslutning. Installer det, politikken kræver, og notér begrundelsen ved siden af installationsprogrammets version.

Den registrering er den del, folk springer over, og den del, der sparer den næste administrator en uge: protokol, godkendelsesmetode, adressefamilie og påkrævet suffiks, med én linje begrundelse for hver binær, der måtte tilføjes. Læg den, hvor installationsnoterne bor, og ikke i en chat-tråd. To linjer dokumentation forhindrer en gentaget undersøgelse.