Welche VPN-Protokolle spricht Ihr Betriebssystem bereits?

Bevor Sie einen weiteren Client herunterladen, prüfen Sie, was das Betriebssystem bereits umsetzt, denn die Antwort reicht oft aus, um den Installer ganz zu überspringen. Windows, macOS und ChromeOS bringen jeweils eine feste, kurze Liste von Tunnelprotokollen mit, und ein Gateway, das eines davon spricht, braucht weder zusätzlichen Treiber noch Dienst noch Update-Pfad. Entscheidend ist nicht der Herstellername auf dem Prospekt. Entscheidend sind das Protokoll, die Art der Authentifizierung des Endpunkts und die Adresse, die er erwartet.

Fragen Sie nach dem Protokoll, nicht nach dem Produktnamen

Ein Produktname sagt sehr wenig darüber, was über die Leitung geht. Zwei Gateways, die unter derselben Bezeichnung verkauft werden, können völlig unterschiedliche Tunnel verlangen, und das eine akzeptiert vielleicht einen eingebauten Client, während das andere alles außer seinem eigenen Portal ablehnt. Zwei Administratoren, die dieselbe Kiste beschreiben, können sich widersprechen und beide recht haben, weil sie verschiedene Schichten beschreiben. Der Tunnel darunter entscheidet, ob ein Installer nötig ist.

Stellen Sie drei Fragen an den, der das Gateway betreibt: welches Tunnelprotokoll, welche Authentifizierungsmethode und welche Adresse und welches DNS-Suffix der Client akzeptieren muss. Fragen Sie nach dem Protokoll beim Namen, und wenn die Antwort als Produktname zurückkommt, erklären Sie, warum Sie das Protokoll brauchen. Diese drei Antworten klären die Client-Frage, bevor irgendeine Software heruntergeladen wird.

Es hat einen Grund, dass der Produktname in so vielen Tickets überlebt. Die Portal-URL ist das, was Nutzer sehen, und der Tunnel ist unsichtbar, solange er funktioniert. Das Protokoll in die Übergabenotiz zu schreiben kostet eine Zeile und beseitigt die Mehrdeutigkeit für alle, die danach kommen.

Wo die eingebaute Liste endet

Die nativen Listen sind kurz, und ihre Ränder zählen mehr als ihr Inhalt. Eine Plattform, die L2TP über IPsec mit einem vorab geteilten Schlüssel spricht, spricht kein SSTP, und dieser Unterschied entscheidet über den Client. Die Tabelle ist nach Tunnel statt nach Hersteller geordnet, sodass Sie das vom Gateway genannte Protokoll nachschlagen können.

Lesen Sie die Tabelle gegen die Anforderungen des Gateways, nicht gegen einen Prospekt. Lautet die Antwort L2TP über IPsec mit vorab geteiltem Schlüssel, verbinden sich die ersten drei Plattformen ohne zusätzliche Installation. Lautet die Antwort OpenVPN, ist vor jeder Installation nur ChromeOS abgedeckt. Ein Protokoll, das in keiner eingebauten Spalte auftaucht, ist das ehrliche Signal, dass ein Installer kommt.

Linux ist die Spalte, die sich der Verallgemeinerung widersetzt. Seine Protokollunterstützung lebt in Daemons und Plugins, deren Paketierung die Distribution wählt, sodass ein minimales Image vielleicht keines davon spricht, bis Sie sie hinzufügen, und zwei Distributionen mit demselben Desktop können sich unterscheiden.

Bauen Sie das Profil über die Kommandozeile

Alles, was das grafische Panel schreibt, liegt irgendwo, wo Sie hinkommen, und genau das macht ein eingebautes Profil automatisierbar. Windows hält VPN-Einträge in .pbk Dateien unter dem Benutzerprofil und unter ProgramData, und rasphone kann Einträge auflisten und bearbeiten, die die Netzwerkliste nicht zeigt. Das zählt, wenn eine Maschine per Skript bereitgestellt wird und niemand durch einen Assistenten klicken wird. Es erklärt auch, wie ein Profil existieren kann, ohne je im Infobereich zu erscheinen.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Eine .pbk Datei von Hand zu bearbeiten funktioniert, und es ist auch der schnellste Weg, sie zu beschädigen, also lassen Sie das Format vom Werkzeug besitzen. macOS hält seine Dienste in der Systemkonfiguration, und networksetup spricht sie über den Dienstnamen an; mehrere Schalter wollen eine Adresse statt eines Hostnamens, also lösen Sie zuerst den Endpunkt auf und speichern Sie den Wert, den der Client tatsächlich nutzt. Dieser Unterschied beißt bei der Automatisierung, weil ein Skript, das mit einer Adresse funktioniert, mit einem Namen scheitern kann und der Fehler wie ein defektes Gateway aussieht statt wie ein abgelehntes Argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Dienstnamen sind lokalisiert und vom Benutzer bearbeitbar, sodass ein Skript, das Wi-Fi fest verdrahtet, auf der ersten Maschine bricht, die auf eine andere Sprache gestellt ist. Lesen Sie den Namen aus dem Listenbefehl und reichen Sie ihn weiter, statt zu raten.

Zertifikate ohne proprietären Client

Manche Umgebungen brauchen ein Client-Zertifikat und sonst nichts Proprietäres, und das ist der mittlere Fall, den es sich zu testen lohnt, bevor Sie einen Treiber akzeptieren. Ein Zertifikat im Speicher der Plattform abzulegen wird unterstützt; es ist nicht dasselbe, wie eine Herstellerwurzel hineinzuwerfen und darauf zu vertrauen, dass der Client sie findet. Das erste ist eine bewusste Ablage; das zweite ist eine Vermutung mit angehängtem Support-Ticket.

Das Detail, das Leute erwischt, ist, welchen Speicher der Client liest. Ein Zertifikat im Benutzerspeicher ist für einen Client unsichtbar, der auf den Maschinenspeicher konfiguriert ist, und die Meldung, die Sie bekommen, sagt, das Zertifikat fehle, nicht, dass es am falschen Ort liegt. Prüfen Sie beide Speicher, bevor Sie schließen, dass das Zertifikat falsch ist. Notieren Sie, welchen die funktionierende Konfiguration nutzt, denn diese Notiz überlebt das Zertifikat, wenn die Maschine neu aufgebaut wird.

Windows trennt die beiden Speicher ausdrücklich, und macOS trennt den Anmeldeschlüsselbund vom Systemschlüsselbund. Die Namen unterscheiden sich, aber der Fehlermodus ist identisch: ein gültiges Zertifikat, das der Client nie ansieht.

Was einen Installer erzwingt

Manche Gateways binden den Client an einen privaten Zertifikatsspeicher, einen Posture-Agenten oder einen Anmeldeaustausch, den das Betriebssystem nicht leisten kann. Umgebungen auf Check-Point-, Cisco- oder Fortinet-Hardware landen oft dort, und in ihnen ist der eingebaute Client keine Abkürzung. Ein Ersatz von Drittanbietern kann sich verbinden und trotzdem die Richtlinie verletzen, was dies zu einer Sicherheitsentscheidung statt einer Bequemlichkeitsentscheidung macht. Installieren Sie, was die Richtlinie verlangt, und notieren Sie den Grund neben der Installer-Version.

Diese Aufzeichnung ist der Teil, den Leute überspringen, und der Teil, der dem nächsten Administrator eine Woche spart: Protokoll, Authentifizierungsmethode, Adressfamilie und erforderliches Suffix, mit einer Zeile Begründung für jede Binärdatei, die hinzugefügt werden musste. Legen Sie sie dorthin, wo die Installationsnotizen liegen, und nicht in einen Chat-Thread. Zwei Zeilen Dokumentation verhindern eine wiederholte Untersuchung.