Nur-PCF-VPN-Profil: Was Sie vor der Migration fragen sollten

Jemand reicht Ihnen eine .pcf-Datei und ein Notebook und erwartet, dass die Verbindung genauso funktioniert wie vor Jahren. Meistens wird sie es nicht, und das Dateiformat ist selten der Grund. Eine PCF zeichnet die Parameter auf, die ein alter Cisco VPN Client brauchte, um einen bestimmten Konzentrator zu erreichen; sie sagt nichts darüber, ob ein heutiger Client noch mit diesem Dienst sprechen kann. Die Datei ist ein Beleg über eine vergangene Verbindung, kein Vertrag für die nächste.

Diesen Beleg von den Anforderungen zu trennen, ist die ganze Aufgabe. Der Betreiber des Gateways schuldet Ihnen eine unterstützte Kombination aus Client, Protokoll, Authentifizierungsverfahren und Profilformat, was eine andere Frage ist als die, ob irgendeine Anwendung Ihr altes Profil öffnet.

Was die Datei in Ihrer Hand tatsächlich festhält

Eine PCF ist ein kleines Profil aus Verbindungseinträgen: ein Host oder ein Paar aus primärem und Ersatzsystem, ein Gruppenname und Hinweise, wie der Client Anmeldedaten vorlegen soll. Sie enthält keine Protokollaushandlung, keine Vertrauensentscheidung und keine Aussage über die aktuellen Fähigkeiten des Gateways. Wer sie liest, erfährt, wohin der alte Client gewählt hat und unter welchem Gruppennamen, und dieser Teil ist ein wirklich nützlicher Kontext für den Betreiber des Kopfendes.

Was sie nicht sagen kann, ist, ob der Dienst hinter diesem Hostnamen noch dasselbe Protokoll akzeptiert oder ob das Konto in einer Form fortbesteht, die zu den Hinweisen passt. Diese Antworten liegen auf dem Gateway und im Identitätsspeicher, also fragen Sie dort, bevor Sie bauen.

Drei Anforderungen, die wie eine aussehen

Die erste Anforderung ist Leitungskompatibilität: Der Client muss das Fernzugriffsprotokoll implementieren, das das Gateway beendet. Die zweite ist Authentifizierung, wobei das Verfahren, das das Gateway verlangt — Zertifikat, Gruppenzugangsdaten plus MFA oder EAP — eines sein muss, das der Client tatsächlich ausführen kann. Die dritte ist Richtlinie: Split-Tunnelling, DNS, Adresspools und etwaige Posture-Prüfungen, alles auf dem Gateway konfiguriert und dem Client in einem Profil geliefert, das er akzeptieren muss.

Eine PCF bietet schwache Hinweise auf die zweite Anforderung und praktisch keine auf die anderen beiden. Eine Importfunktion verwischt die Grenze weiter: Ein Client, der Altfelder in sein eigenes Format abbildet, kann beim Importieren erfolgreich sein und beim Verbinden scheitern, und das Umgekehrte ist ebenfalls möglich.

Fünf Fragen, die eine brauchbare Antwort liefern

Schicken Sie Fragen statt der Datei. Welche Kombination aus Fernzugriffsdienst und Client heute unterstützt wird; welches Protokoll dieser Dienst ins Internet stellt; welches Authentifizierungsverfahren und welcher Registrierungsweg gelten; welches Profil, welche Vertrauensanker und welche Gruppen- oder MFA-Richtlinie dazugehören; und welche Teile von der alten Verbindung abweichen. Jede Antwort entspricht einer der drei Anforderungen oben.

Diese Liste macht aus einer Diskussion über Dateiformate eine Entscheidung über Support und liefert normalerweise einen Dokumentationslink und einen benannten Verantwortlichen statt eines Schulterzuckens. Sie sagt Ihnen auch früh, ob die Migration ein neues Profil gegen einen bestehenden Dienst ist oder eine Gateway-Änderung, die noch niemand eingeplant hat. Fragen Sie schriftlich, denn die Antworten werden die Abnahmekriterien für alles, was Sie als Nächstes bauen. Behalten Sie auch den alten Gruppennamen im Ticket, denn er ist oft der schnellste Weg für den Betreiber, die passende Richtlinie zu finden.

Umbenennen übersetzt nichts

Cisco Secure Client dokumentiert XML-Profile mit eigenen Protokolloptionen, sodass das Umbenennen einer .pcf in .xml weder XML noch Einstellungen erzeugt. Ein Hostname in einer OpenVPN-Datei macht aus einem IPsec-Gateway keinen OpenVPN-Sprecher, und ein nativer IKEv2-Client wird nicht allein deshalb mit einem älteren Dienst kompatibel, weil beide als IPsec beschrieben werden.

Jeder dieser Schritte ändert ein Etikett und lässt das Verhalten auf der Leitung unberührt, weshalb der resultierende Fehler unabhängig von der Änderung wirkt. Wenn das Gateway nicht bieten kann, was der neue Client implementiert, sind die ehrlichen Optionen ein Client, der noch das alte Protokoll spricht, oder eine geplante Gateway-Migration. Raten zwischen beidem kostet Wochen und lehrt nichts.

Behandeln Sie das alte Profil als sensibles Material

Ein altes Profil kann einen internen Hostnamen, einen Gruppennamen und manchmal gespeicherte Anmeldedaten enthalten, also genau die Form von Dingen, die öffentliche Konverter und Forenthreads sammeln. Lassen Sie einen Administrator die Felder über einen freigegebenen Kanal lesen, statt die Datei irgendwo hochzuladen.

Widerstehen Sie der Versuchung, die Migration von einem Beta-Client, einem nicht unterstützten Gastsystem oder schwächerer Authentifizierung abhängig zu machen, nur um einen veralteten Client am Leben zu halten. Alte Preise und Downloadseiten sind kein besserer Beleg als die PCF selbst, denn sie beschreiben einen Anspruch aus einer anderen Zeit statt des Vertrags, den Sie jetzt brauchen.