Προφίλ VPN μόνο με PCF: τι να ρωτήσετε πριν από τη μετανάστευση

Κάποιος σας δίνει ένα αρχείο .pcf και ένα φορητό υπολογιστή και περιμένει η σύνδεση να λειτουργήσει ακριβώς όπως πριν από χρόνια. Συνήθως δεν θα λειτουργήσει, και η μορφή του αρχείου σπάνια είναι η αιτία. Ένα PCF καταγράφει τις παραμέτρους που χρειαζόταν ένας παλιός Cisco VPN Client για να φτάσει σε έναν συγκεκριμένο συγκεντρωτή· δεν λέει τίποτα για το αν ένας σημερινός πελάτης μπορεί ακόμη να μιλήσει σε αυτή την υπηρεσία. Το αρχείο είναι απόδειξη για μια παλιά σύνδεση, όχι συμβόλαιο για την επόμενη.

Ο διαχωρισμός αυτής της απόδειξης από τις απαιτήσεις είναι όλη η δουλειά. Ο ιδιοκτήτης της πύλης σάς οφείλει έναν υποστηριζόμενο συνδυασμό πελάτη, πρωτοκόλλου, μεθόδου ταυτοποίησης και μορφής προφίλ, που είναι διαφορετικό ερώτημα από το αν κάποια εφαρμογή θα ανοίξει το παλιό σας προφίλ.

Τι πραγματικά καταγράφει το αρχείο στο χέρι σας

Ένα PCF είναι ένα μικρό προφίλ με καταχωρήσεις σύνδεσης: έναν κεντρικό υπολογιστή ή ένα ζεύγος κύριου και εφεδρικού, ένα όνομα ομάδας και υποδείξεις για το πώς ο πελάτης πρέπει να παρουσιάζει διαπιστευτήρια. Δεν φέρει διαπραγμάτευση πρωτοκόλλου, ούτε απόφαση εμπιστοσύνης, ούτε δήλωση για τις τρέχουσες δυνατότητες της πύλης. Η ανάγνωσή του σάς λέει πού καλούσε ο παλιός πελάτης και με ποιο όνομα ομάδας, και αυτό το μέρος είναι πραγματικά χρήσιμο πλαίσιο για όποιον διαχειρίζεται το κεντρικό άκρο.

Αυτό που δεν μπορεί να σας πει είναι αν η υπηρεσία πίσω από αυτό το όνομα κεντρικού υπολογιστή δέχεται ακόμη το ίδιο πρωτόκολλο ή αν ο λογαριασμός επιβιώνει σε μορφή που ταιριάζει με τις υποδείξεις. Αυτές οι απαντήσεις βρίσκονται στην πύλη και στο χώρο ταυτοτήτων, οπότε ρωτήστε εκεί πριν χτίσετε.

Τρεις απαιτήσεις που μοιάζουν με μία

Η πρώτη απαίτηση είναι η συμβατότητα στο δίκτυο: ο πελάτης πρέπει να υλοποιεί το πρωτόκολλο απομακρυσμένης πρόσβασης που τερματίζει η πύλη. Η δεύτερη είναι η ταυτοποίηση, όπου η μέθοδος που απαιτεί η πύλη — πιστοποιητικό, διαπιστευτήρια ομάδας μαζί με MFA ή EAP — πρέπει να είναι μία που ο πελάτης μπορεί πράγματι να εκτελέσει. Η τρίτη είναι η πολιτική: διαχωρισμένη σήραγγα, DNS, ομάδες διευθύνσεων και τυχόν έλεγχοι κατάστασης, όλα ρυθμισμένα στην πύλη και παραδομένα στον πελάτη σε προφίλ που πρέπει να δεχτεί.

Ένα PCF προσφέρει αδύναμη απόδειξη για τη δεύτερη απαίτηση και ουσιαστικά καμία για τις άλλες δύο. Η λειτουργία εισαγωγής θολώνει ακόμη περισσότερο τα όρια: ένας πελάτης που αντιστοιχίζει παλιά πεδία στη δική του μορφή μπορεί να πετύχει στην εισαγωγή αλλά να αποτύχει στη σύνδεση, και το αντίστροφο είναι επίσης δυνατό.

Πέντε ερωτήσεις που δίνουν χρησιμοποιήσιμη απάντηση

Στείλτε ερωτήσεις αντί για το αρχείο. Ποιος συνδυασμός υπηρεσίας απομακρυσμένης πρόσβασης και πελάτη υποστηρίζεται σήμερα· ποιο πρωτόκολλο παρουσιάζει αυτή η υπηρεσία στο διαδίκτυο· ποια μέθοδος ταυτοποίησης και ποια διαδρομή εγγραφής ισχύουν· ποιο προφίλ, ποιες ρίζες εμπιστοσύνης και ποια πολιτική ομάδας ή MFA ανήκουν σε αυτό· και ποια μέρη διαφέρουν από την παλιά σύνδεση. Κάθε απάντηση αντιστοιχεί σε μία από τις τρεις απαιτήσεις παραπάνω.

Αυτή η λίστα μετατρέπει μια συζήτηση για μορφές αρχείων σε απόφαση για υποστήριξη και συνήθως επιστρέφει έναν σύνδεσμο τεκμηρίωσης και έναν ονομαστικό υπεύθυνο αντί για ένα σήκωμα των ώμων. Σας λέει επίσης νωρίς αν η μετανάστευση είναι νέο προφίλ απέναντι σε υπάρχουσα υπηρεσία ή αλλαγή πύλης που δεν έχει προγραμματίσει κανείς ακόμη. Ρωτήστε γραπτώς, γιατί οι απαντήσεις γίνονται κριτήρια αποδοχής για ό,τι χτίσετε στη συνέχεια. Κρατήστε και το παλιό όνομα ομάδας στο αίτημα, αφού είναι συχνά ο γρηγορότερος τρόπος για τον διαχειριστή να βρει την αντίστοιχη πολιτική.

Η μετονομασία δεν μεταφράζει τίποτα

Το Cisco Secure Client τεκμηριώνει προφίλ XML με τις δικές του επιλογές πρωτοκόλλου, οπότε η μετονομασία ενός .pcf σε .xml δεν παράγει ούτε XML ούτε ρυθμίσεις. Η επικόλληση ενός ονόματος κεντρικού υπολογιστή σε αρχείο OpenVPN δεν κάνει μια πύλη IPsec να μιλά OpenVPN, και ένας εγγενής πελάτης IKEv2 δεν γίνεται συμβατός με παλαιότερη υπηρεσία μόνο επειδή και τα δύο περιγράφονται ως IPsec.

Κάθε μία από αυτές τις κινήσεις αλλάζει μια ετικέτα και αφήνει τη συμπεριφορά στο δίκτυο ανέπαφη, γι' αυτό η αποτυχία που προκύπτει φαίνεται άσχετη με την αλλαγή. Όταν η πύλη δεν μπορεί να προσφέρει αυτό που υλοποιεί ο νέος πελάτης, οι έντιμες επιλογές είναι ένας πελάτης που μιλά ακόμη το παλιό πρωτόκολλο ή μια προγραμματισμένη μετανάστευση πύλης. Το να μαντέψετε ανάμεσά τους κοστίζει εβδομάδες και δεν διδάσκει τίποτα.

Αντιμετωπίστε το παλιό προφίλ ως ευαίσθητο υλικό

Ένα παλιό προφίλ μπορεί να περιέχει εσωτερικό όνομα κεντρικού υπολογιστή, όνομα ομάδας και μερικές φορές αποθηκευμένα διαπιστευτήρια, που είναι ακριβώς το είδος που συλλέγουν οι δημόσιοι μετατροπείς και τα νήματα φόρουμ. Ζητήστε από έναν διαχειριστή να διαβάσει τα πεδία μέσω εγκεκριμένου καναλιού αντί να ανεβάσετε το αρχείο οπουδήποτε.

Αντισταθείτε στον πειρασμό να κρεμάσετε τη μετανάστευση από έναν πελάτη beta, ένα μη υποστηριζόμενο σύστημα επισκέπτη ή ασθενέστερη ταυτοποίηση που επιλέχθηκε για να κρατήσει ζωντανό έναν απαρχαιωμένο πελάτη. Οι παλιές τιμές και οι σελίδες λήψης δεν είναι καλύτερη απόδειξη από το ίδιο το PCF, αφού περιγράφουν ένα δικαίωμα άλλης εποχής και όχι το συμβόλαιο που χρειάζεστε τώρα.