Τι να προρυθμίσετε πριν από την πρώτη σύνδεση VPN ενός χρήστη

Μια πρώτη σύνδεση VPN σπάνια αποτυγχάνει στη σήραγγα. Αποτυγχάνει όταν ένας συνηθισμένος χρήστης, σε μη διαχειριζόμενο δίκτυο, ακολουθεί οδηγίες γραμμένες από κάποιον που είχε ήδη εγκαταστήσει το πιστοποιητικό. Το προφίλ, η αλυσίδα εμπιστοσύνης και το διαπιστευτήριο είναι διαμόρφωση, και τα τρία μπορούν να παραδοθούν πριν εμπλακεί ο χρήστης. Αυτό που μένει σε αυτόν τον χρήστη πρέπει να είναι τέσσερις ενέργειες χωρίς αποφάσεις μέσα τους. Κάθε επιπλέον βήμα που αφήνετε στην παράδοση γίνεται κλήση υποστήριξης που αρχίζει με κάποιον να διαβάζει δυνατά ένα παράθυρο διαλόγου.

Τι κουβαλά στην πραγματικότητα ένα προφίλ σύνδεσης

Ένα προφίλ VPN δεν είναι συντόμευση ούτε σελιδοδείκτης. Είναι ένα ονομασμένο αντικείμενο στο χώρο συνδέσεων του λειτουργικού συστήματος, που κρατά τη διεύθυνση του διακομιστή, τον τύπο σήραγγας, τη μέθοδο ταυτοποίησης και συχνά τις διαδρομές, τα επιθήματα DNS και τους κανόνες ενεργοποίησης που καθορίζουν πότε συνδέεται. Στα Windows αυτά τα πεδία αντιστοιχούν στους κόμβους του παρόχου υπηρεσίας διαμόρφωσης VPNv2, γι' αυτό ένα προφίλ μπορεί να φτάσει μέσω Intune, Configuration Manager, πακέτου προετοιμασίας ή χειροκίνητα εισαγόμενου αρχείου XML.

Ο πελάτης εφαρμόζει αυτό το αντικείμενο με σταθερή σειρά: επικυρώνει το πιστοποιητικό του διακομιστή έναντι έμπιστων ριζών, διαπραγματεύεται τη σήραγγα και μόνο τότε εφαρμόζει δρομολόγηση και επίλυση ονομάτων πριν δει μια εφαρμογή δίκτυο. Αυτή η σειρά εξηγεί τις περισσότερες αναφορές σύνδεσης που δηλώνει ενεργή ενώ τίποτα δεν φορτώνει: η ταυτοποίηση πέτυχε και το DNS ή η λίστα διαδρομών απέτυχε στην πραγματικότητα. Διαβάστε το προφίλ ως ένα αντικείμενο με ακολουθία, όχι ως σύνολο ανεξάρτητων διακοπτών. Μια ρίζα εμπιστοσύνης που λείπει αποτυγχάνει στο πρώτο βήμα, πριν προσφερθεί οποιοδήποτε διαπιστευτήριο, γι' αυτό παράγει γενικό σφάλμα αντί για προτροπή σύνδεσης.

Το υλικό εμπιστοσύνης είναι το πεδίο που συχνότερα περνά λαθραία με το χέρι. Το πιστοποιητικό CA που υπογράφει την πύλη πρέπει να υπάρχει πριν από την πρώτη προσπάθεια, και η επικύρωση ονόματος διακομιστή πρέπει να μένει ενεργή με όνομα που ταιριάζει· η απενεργοποίηση της επικύρωσης για να περάσει ένα τεστ μετατρέπει ένα πρόβλημα ταυτοποίησης σε σιωπηλή υποκλοπή που κανένας χρήστης δεν μπορεί να ανιχνεύσει.

Οι τέσσερις επιλογές που δεν πρέπει ποτέ να κάνουν οι χρήστες

Το πρωτόκολλο και ο τύπος σήραγγας έρχονται πρώτα: επιλέξτε έναν υποστηριζόμενο συνδυασμό ανά πλατφόρμα και τεκμηριώστε την πλευρά της πύλης, γιατί ένα γνωστό εμπορικό όνομα δεν είναι δήλωση συμβατότητας. Ακολουθεί το τελικό σημείο: ένα όνομα κεντρικού υπολογιστή που επιλύεται δημόσια και ταιριάζει με το πιστοποιητικό που παρουσιάζει η πύλη. Η ταυτοποίηση ανήκει στο σύστημα ταυτότητας, είτε πρόκειται για πιστοποιητικό είτε για όνομα χρήστη με δεύτερο παράγοντα είτε και για τα δύο. Καμία από αυτές δεν είναι προτίμηση του χρήστη και καμία δεν πρέπει να εμφανίζεται ως ερώτηση στις οδηγίες.

Η τέταρτη επιλογή είναι το εύρος: πλήρης σήραγγα ή διαχωρισμένη σήραγγα, και ποια προθέματα και επιθήματα DNS ταξιδεύουν μέσα. Μια διαχωρισμένη σήραγγα χωρίς εσωτερικά επιθήματα διαρρέει την επίλυση ονομάτων στον επιλυτή που προσφέρει το τοπικό δίκτυο, και μια πλήρης σήραγγα χωρίς σχέδιο τοπικών πόρων σπάει εκτυπωτές και πύλες αιχμαλώτισης. Και οι δύο είναι αποφάσεις του διαχειριστή με ορατά αποτελέσματα στο χρήστη, γι' αυτό ακριβώς ο χρήστης πρέπει να τις παραλάβει ήδη λυμένες.

Κρατήστε το όνομα της σύνδεσης βαρετό και σταθερό. Οι χρήστες το διαβάζουν δυνατά στην υποστήριξη, το αναζητούν σε λίστα πελάτη και το θυμούνται ανάμεσα σε επαναφορές κωδικού· η μετονομασία του στη μέση μιας μετανάστευσης δημιουργεί κορύφωση υποστήριξης που δεν έχει καμία σχέση με το αν λειτουργεί το VPN.

Παραδώστε ταυτότητα ανά άτομο ή ανά συσκευή

Το προφίλ είναι δημόσιο και το ιδιωτικό κλειδί δεν είναι. Ένα συνηθισμένο λάθος ανάπτυξης είναι η εξαγωγή ενός προφίλ που λειτουργεί μαζί με το πιστοποιητικό του και το μοίρασμα του αρχείου, που κάνει κάθε φορητό υπολογιστή κλώνο μιας ταυτότητας και μετατρέπει την ανάκληση σε απόφαση όλα-ή-τίποτα. Καταχωρίστε αντί γι' αυτό διαπιστευτήρια μέσω της υποστηριζόμενης διαδικασίας: πιστοποιητικό ανά συσκευή από το κανάλι διαχείρισης ή διαπιστευτήριο ανά χρήστη από τον πάροχο ταυτότητας.

Οι σήραγγες συσκευής και οι σήραγγες χρήστη ταυτοποιούνται σε διαφορετικές στιγμές, και αυτή η διαφορά καθορίζει ποιο διαπιστευτήριο χρειάζεστε. Μια σήραγγα συσκευής που συνδέεται πριν από τη σύνδεση χρειάζεται πιστοποιητικό μηχανής και προφίλ διαθέσιμο στο σύστημα. Μια σήραγγα χρήστη που ξεκινά μετά τη σύνδεση μπορεί να χρησιμοποιήσει το δικό του διαπιστευτήριο του χρήστη και δεν πρέπει να απαιτεί δικαιώματα διαχειριστή. Το να προσθέσετε πρόσβαση δικτύου σε επίπεδο μηχανής μόνο για να αφαιρέσετε ένα κλικ από το πρωινό κάποιου είναι κακή ανταλλαγή, γιατί διευρύνει το τι μπορεί να φτάσει μια συσκευή χωρίς επίβλεψη.

Η καταχώριση είναι επίσης το σημείο όπου αποφασίζεται η διαδρομή αποκατάστασης. Μια ανανέωση πιστοποιητικού ή μια αλλαγή κωδικού πρέπει να φτάσει στη συσκευή ενώ η σήραγγα είναι κάτω, οπότε η προετοιμασία, ο πάροχος ταυτότητας και η πύλη πρέπει να συμφωνήσουν πώς συμβαίνει αυτό· αν ο μόνος τρόπος να επισκευαστεί ένα προφίλ είναι μέσω της σήραγγας που παρέχει αυτό το προφίλ, το κλειδί είναι κλειδωμένο μέσα στο κουτί.

Ταιριάξτε το κανάλι παράδοσης με τον πελάτη

Οι εγγενείς πελάτες και οι πελάτες τρίτων παραδίδονται διαφορετικά. Τα προφίλ Windows μπορούν να παραδοθούν ως VPNv2 ProfileXML μέσω Intune ή Configuration Manager, αλλά δεν είναι κάθε κόμβος εκτεθειμένος σε κάθε επιφάνεια διαχείρισης, και η δρομολόγηση, το DNS και οι ρυθμίσεις ενεργοποίησης ποικίλλουν ανά εργαλείο και ανά έκδοση Windows. Επιβεβαιώστε ποιο πεδίο είναι αναπτύξιμο πριν υποσχεθείτε ανάπτυξη χωρίς επαφή, γιατί η αναφορά επιλογών προφίλ τεκμηριώνει ρυθμίσεις που ορισμένες διαδρομές παράδοσης δεν μπορούν ακόμη να ορίσουν.

Οι πελάτες προμηθευτών προσθέτουν δεύτερο επίπεδο, αφού το δυαδικό αρχείο, το προφίλ και η πολιτική κεφαλής είναι ξεχωριστά τεχνουργήματα. Το Cisco Secure Client, για παράδειγμα, υποστηρίζει την εκ των προτέρων ανάπτυξη τόσο του πακέτου όσο και του προφίλ του, και η έκδοση του πελάτη πρέπει να συντονιστεί με τη διαμόρφωση της πύλης· η εγκατάσταση μόνο του πακέτου αφήνει τον χρήστη σε οδηγό.

Όποιο κανάλι κι αν επιλέξετε, κρατήστε μία πηγή αλήθειας για το προφίλ. Ένα επισκευασμένο προφίλ που ένα παλαιότερο πακέτο αντικαθιστά στον επόμενο έλεγχο είναι επαναλαμβανόμενο περιστατικό, και η διαρκής λύση είναι διαμόρφωση με εκδόσεις αντί για χειροκίνητη επεξεργασία σε κάθε μηχάνημα.

Δοκιμάστε την παράδοση ως νέος χρήστης και μετά δοκιμάστε την αποκατάσταση

Κάντε πιλότο με έναν συνηθισμένο λογαριασμό σε συσκευή που δεν συνδέθηκε ποτέ, χωρίς την αποθηκευμένη συνεδρία του διαχειριστή ή προεγγεγραμμένο πιστοποιητικό. Επιβεβαιώστε ότι το προφίλ εμφανίζεται στη λίστα, ότι η προτροπή σύνδεσης ταιριάζει με τις οδηγίες και ότι ανοίγει ένας ονομασμένος εσωτερικός πόρος, και μετά ελέγξτε την επίλυση ονομάτων και το εύρος δρομολόγησης αντί να σταματήσετε σε εικονίδιο συνδεδεμένου.

Ερωτήστε τον χώρο προφίλ της συσκευής ώστε το τεστ να παράγει αποδεικτικά στοιχεία αντί για εντύπωση.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Μετά περάστε από τα γεγονότα που συναντούν πραγματικά οι χρήστες: μια αναγκαστική επαναφορά κωδικού, ένα ανανεωμένο πιστοποιητικό, μια προωθημένη ενημέρωση πελάτη και ένα δίκτυο που κανείς στον πιλότο δεν έχει χρησιμοποιήσει. Κάθε ένα πρέπει είτε να λειτουργεί είτε να αποτυγχάνει όπως περιγράφουν οι οδηγίες. Δοκιμάστε και ένα δίκτυο που μπλοκάρει τη θύρα του VPN, γιατί η πρώτη προσπάθεια σε Wi-Fi ξενοδοχείου είναι το σημείο όπου μια επιτυχία στο σπίτι παύει να βοηθά. Καταγράψτε την έκδοση του πελάτη και το build του λειτουργικού δίπλα σε κάθε αποτέλεσμα, αφού η επόμενη αναφορά θα φτάσει χωρίς αυτά.

Κρατήστε την παράδοση προς τον χρήστη σε τέσσερις γραμμές: το όνομα της σύνδεσης, την αναμενόμενη σύνδεση, τον πόρο που αποδεικνύει επιτυχία και πού να σταλεί το κείμενο του σφάλματος. Κανείς δεν πρέπει να ερωτηθεί για κωδικό ή εξαγόμενο κλειδί για να δείξει αποτυχία. Η αρχιτεκτονική, τα εσωτερικά του προφίλ και η διαδικασία αποκατάστασης ανήκουν στο εγχειρίδιο του διαχειριστή, αρχειοθετημένα δίπλα στην έκδοση πελάτη με την οποία δοκιμάστηκαν.