Kas üks VPN-teenus suudab katta Windowsi, Maci ja Linuxi töölauad?

Kolm sülearvutit ühes meeskonnas, kolm erinevat VPN-menüüd ja pilet, mis ütleb, et ühendus töötab kõikjal peale Maci. Nende klientide taga olev plaan võib olla identne ka siis, kui menüüd ei ole. See, mis peab kokku langema, on kitsam, kui enamik juurutusi eeldab: üks lüüsi identiteet, üks volituse tüüp, üks marsruudikomplekt ja üks resolveri poliitika. Kirjutage need neli üles enne, kui keegi profiili ekspordib, ja platvormitöö muutub uurimise asemel kontrollnimekirjaks.

Alustage juurdepääsulepingust, mitte kliendi failist

Juurdepääsuleping on viis rida, mida ülevaataja saab kontrollida ilma tarnija konsooli avamata. See nimetab privaatsed eesliited, millele peab pääsema, sisemised nimed, mis tuleb lahendada, resolveri, mis neile vastab, liikluse, millel on lubatud jääda kohalikule teele, ja lüüsi sertifikaadi, mida klient peaks ootama. Kõik muu juurutuses on nende ridade tõlge failivormingusse.

Kontorinäide teeb vormi konkreetseks: rakendusserverid 10.60.0.0/16 sees, privaatsed nimed corp.example all, sisemine resolver 10.61.0.53 aadressil ja tavaline sirvimine jäetud teele, mida seade juba kasutab. Viimane punkt on poliitika otsus, mitte kliendi vaikeväärtus, ja mitu klienti saadavad kõik tunnelisse, kui keegi ei ütle teisiti. Registreerige leping kuupäeva ja vastutajaga, sest just see kirje ütleb teile hiljem, kas muutus tunnel või poliitika.

Valige üks protokoll ja üks autentimispaar, mida suudate kaitsta

IKEv2 sertifikaadipõhise lüüsi autentimise ja kasutaja jaoks EAP-iga on tavaline valik, kui kõik kolm platvormi peavad töötama ilma lisatarkvarata, sest Windows, macOS ja NetworkManager tarnivad igaüks IKEv2 kliendi. Probleem on selles, et IKEv2 toetamine kirjeldab silti, mitte funktsioonide komplekti. EAP-meetodid, riistvaratoega võtmed, sertifikaadi ja konto vastendamine ning automaatne taastamine rakendatakse platvormide kaupa. Kombinatsioon, mis töötab kahel kolmest, on piisavalt tavaline, et seda eeldada, kuni seda pole testitud.

Testige paari igal sihtplatvormil enne juurutusjuhendi kirjutamist, mitte pärast. Lüüs, mis pakub nii EAP-MSCHAPv2 kui ka EAP-TLS, annab teile taganemisruumi, tingimusel et taganemine on dokumenteeritud toetatuna, mitte avastatud intsidendi ajal. Kaks toetatud teed on odav kindlustus; dokumenteerimata kolmas tee on tulevane pilet.

Kui ükski paar ei kata kõiki kolme klienti, on ausad valikud lisada klient, lisada lüüsi profiil või kitsendada toetatud platvormide loendit. Sertifikaadi valideerimise väljalülitamine platvormil, mis kõige valjemalt kurdab, ei ole üks neist. See muudatus muudab ühilduvuslünga pealtkuulamise riskiks ja ükski hilisem juurutussamm ei paranda seda.

Ehitage lepingust üks artefakt platvormi kohta

Windows võtab VPNv2 profiili, mille edastab MDM või mis luuakse kohapeal Add-VpnConnection ja selle XML kandamiga. Valusad kohad on ulatus ja usaldus. Seadmeulatusega profiil ja kasutajaulatusega profiil paigaldatakse erinevatesse hoidlatesse, seega peab kliendi jaoks vajalik sertifikaat asuma hoidlas, mis vastab valitud ulatusele. Vale paar tekitab profiili, mis imporditakse puhtalt ja seejärel ebaõnnestub esimesel ühendusel.

macOS võtab konfiguratsiooniprofiili haldatud VPN-kandamiga, allkirjastatud ja MDM-i kaudu saadetud või piloodi jaoks käsitsi paigaldatud. Identiteet ja CA-ahel liiguvad eraldi kandamitena, mistõttu saab profiil paigalduda kaebusteta ja siiski ühendamise hetkel ebaõnnestuda. Kontrollige kandamite loendit, mitte ainult paigalduse tulemust.

Linux sõltub NetworkManageri taga olevast taustaprogrammist ning strongSwan ja NetworkManageri pistikprogramm on eraldi paketid. Ühenduse omadused on pistikprogrammipõhised, mitte üldised VPN-võtmed, seega mõnest muust pistikprogrammist kopeeritud võti salvestub sageli vigadeta ja ebaõnnestub seejärel aktiveerimisel. Ehitage ühendus puhtal pildil, et kinnitada, et pistikprogramm on seal, kus see tegelikult töötab.

Kolm artefakti erinevad vormingu poolest, kuid igaüks kodeerib samad viis lepingurida. See on test, kas artefakt on valmis: iga rida on kuskil esindatud ja midagi üleliigset ei mõeldud tee peal välja.

Kontrollige marsruute, resolverit ja taastamist puhtal kontol

Ühendatud ei ole vastuvõtutest. Windowsis näitab Get-VpnConnection profiili ja route print näitab, kas privaatne eesliide maandus tunneliliidesele. macOS-is kinnitab scutil --nc list aktiivse teenuse, samal ajal kui scutil --dns näitab resolverite järjekorda, mida süsteem tegelikult kasutab.

Linuxis tõestab nmcli connection show --active, et ühendus on üleval, ja resolvectl status näitab DNS-i lingi kohta. Resolver, mis on ühendusfailis olemas, kuid puudub lingipõhisest väljundist, tähendab, et jagatud DNS-i ei rakendata. See on vahe nimede vahel, mis lahendatakse, ja nimede vahel, mis lahendatakse tunneli kaudu, ning see muudab, milline tugimeeskond omab järgmist sammu. Võrrelge lingipõhist väljundit enne ja pärast ühenduse tõusmist, mitte ainult pärast.

Käivitage kogu kontroll värskel kontol, kus pole vahemällu salvestatud volitusi ega administraatori paigaldatud sertifikaati. Seejärel korrake seda pärast peatamist ja jätkamist ning veel kord pärast volituste uuesti sisestamise sundimist. Need kaks üleminekut toovad esile enamiku taastamisvigadest, mida esimene ühendus kunagi ei näita.

Versioonige pakett ja hoidke tagasipöördumistee

Märgistage iga platvormi pakett lepingu redaktsiooniga, mida see rakendab, ja märkige kliendi- ja lüüsiversioonid, mille vastu te selle vastu võtsite. Kui käitumine muutub pärast kliendi uuendust, osutab silt lepingule, mida uuesti testida, mitte failile, mida oletada.

Hoidke iga platvormi eelmine pakett kättesaadavana ja kirjutage selle kõrvale eemaldamiskäsk. VPN-profiili desinstallimine ei ole selle paigaldamise peegelpilt Windowsis, macOS-is ega Linuxis ning erinevused ilmnevad halvimal võimalikul hetkel. Harjutage eemaldamist korra varuseadmes, et arhiiv muutuks plaaniks, mitte lootuseks.