Nur-PCF-a VPN-profilo: kion demandi antaŭ ol migri

Iu donas al vi dosieron .pcf kaj tekkomputilon kaj atendas, ke la konekto funkcios ĝuste kiel antaŭ jaroj. Kutime ĝi ne funkcios, kaj la dosierformato malofte estas la kaŭzo. PCF registras la parametrojn, kiujn malnova Cisco VPN Client bezonis por atingi unu specifan koncentrilon; ĝi diras nenion pri tio, ĉu nuna kliento ankoraŭ povas paroli kun tiu servo. La dosiero estas pruvo pri pasinta konekto, ne kontrakto por la sekva.

Apartigi tiun pruvon de la postuloj estas la tuta tasko. La posedanto de la enirejo ŝuldas al vi subtenatan kombinaĵon de kliento, protokolo, aŭtentiga metodo kaj profila formato, kio estas alia demando ol ĉu iu aplikaĵo malfermos vian malnovan profilon.

Kion la dosiero en via mano efektive registras

PCF estas malgranda profilo de konektaj enskriboj: gastigo aŭ paro de ĉefa kaj rezerva, grupa nomo, kaj aludoj pri tio, kiel la kliento prezentu legitimilojn. Ĝi enhavas neniun protokolan intertraktadon, neniun fiddecidon kaj neniun deklaron pri la nunaj kapabloj de la enirejo. Legi ĝin montras, kien la malnova kliento alvokis kaj sub kiu grupa nomo, kaj tiu parto estas vere utila kunteksto por tiu, kiu posedas la ĉefan finon.

Kion ĝi ne povas diri al vi, estas ĉu la servo malantaŭ tiu gastignomo ankoraŭ akceptas la saman protokolon, aŭ ĉu la konto pluvivas en formo kongrua kun la aludoj. Tiuj respondoj loĝas en la enirejo kaj en la identa konservejo, do demandu tie antaŭ ol konstrui.

Tri postuloj, kiuj aspektas kiel unu

La unua postulo estas drata kongruo: la kliento devas efektivigi la malproksim-aliran protokolon, kiun la enirejo finas. La dua estas aŭtentigo, kie la metodo, kiun la enirejo postulas — atestilo, grupaj legitimiloj plus MFA, aŭ EAP — devas esti tia, kiun la kliento efektive povas plenumi. La tria estas politiko: dividita tunelo, DNS, adresaroj kaj eventualaj poŝturaj kontroloj, ĉio agordita en la enirejo kaj liverita al la kliento en profilo, kiun ĝi devas akcepti.

PCF donas malfortan pruvon pri la dua postulo kaj esence neniun pri la aliaj du. Importa funkcio plue malklarigas la limon: kliento, kiu mapas malnovajn kampojn en sian propran formaton, povas sukcesi en importado dum ĝi malsukcesas konektiĝi, kaj la malo ankaŭ eblas.

Kvin demandoj, kiuj donas uzeblan respondon

Sendu demandojn anstataŭ la dosieron. Kiu kombinaĵo de malproksim-alira servo kaj kliento estas subtenata hodiaŭ; kiun protokolon tiu servo prezentas al la interreto; kiu aŭtentiga metodo kaj aliĝvojo validas; kiu profilo, kiuj fidaj radikoj kaj kiu grupa aŭ MFA-politiko apartenas al ĝi; kaj kiuj partoj diferencas de la malnova konekto. Ĉiu respondo mapiĝas al unu el la tri postuloj supre.

Tiu listo transformas diskuton pri dosierformatoj en decidon pri subteno, kaj ĝi kutime redonas dokumentan ligilon kaj nomitan posedanton anstataŭ ŝultrolevon. Ĝi ankaŭ frue diras, ĉu la migrado estas nova profilo kontraŭ ekzistanta servo, aŭ enireja ŝanĝo, kiun ankoraŭ neniu planis. Demandu skribe, ĉar la respondoj fariĝas la akceptaj kriterioj por tio, kion vi konstruos poste. Konservu ankaŭ la malnovan grupan nomon en la bileto, ĉar ĝi ofte estas la plej rapida vojo por la operatoro trovi la kongruan politikon.

Renomado tradukas nenion

Cisco Secure Client dokumentas XML-profilojn per propraj protokolaj elektoj, do renomado de .pcf al .xml produktas nek XML nek agordojn. Enmeti gastignomon en OpenVPN-dosieron ne igas IPsec-enirejon paroli OpenVPN, kaj denaska IKEv2-kliento ne fariĝas kongrua kun pli malnova servo nur ĉar ambaŭ estas priskribitaj kiel IPsec.

Ĉiu el tiuj movoj ŝanĝas etikedon kaj lasas la dratan konduton netuŝita, kaj tial la rezulta fiasko aspektas neligita al la redakto. Kiam la enirejo ne povas proponi tion, kion la nova kliento efektivigas, la honestaj ebloj estas kliento, kiu ankoraŭ parolas la malnovan protokolon, aŭ planita enireja migrado. Diveni inter ili kostas semajnojn kaj instruas nenion.

Traktu la malnovan profilon kiel senteman materialon

Malnova profilo povas enhavi internan gastignomon, grupan nomon kaj foje konservitajn legitimilojn, kio estas ĝuste la formo de afero, kiun publikaj konvertiloj kaj forumaj fadenoj kolektas. Lasu administranton legi la kampojn per aprobita kanalo anstataŭ alŝuti la dosieron ie ajn.

Rezistu la tenton pendigi la migradon de beta-kliento, nesubtenata gastiga sistemo aŭ pli malforta aŭtentigo elektita por teni malmodernan klienton viva. Malnovaj prezoj kaj elŝutaj paĝoj ne estas pli bona pruvo ol la PCF mem, ĉar ili priskribas rajton el alia epoko, ne la kontrakton, kiun vi nun bezonas.