Ainult PCF-iga VPN-profiil: mida küsida enne migreerimist

Keegi ulatab teile .pcf faili ja sülearvuti ning eeldab, et ühendus töötab täpselt nagu aastaid tagasi. Tavaliselt ei tööta, ja failivorming on harva põhjuseks. PCF salvestab parameetrid, mida vana Cisco VPN Client vajas ühe kindla kontsentreerija juurde jõudmiseks; see ei ütle midagi selle kohta, kas praegune klient suudab selle teenusega veel rääkida. Fail on tõend mineviku ühenduse kohta, mitte leping järgmise jaoks.

Selle tõendi nõuetest eraldamine ongi kogu ülesanne. Gateway omanik on teile võlgu kliendi, protokolli, autentimismeetodi ja profiilivormingu toetatud kombinatsiooni, mis on hoopis teine küsimus kui see, kas mõni rakendus teie vana profiili avab.

Mida teie käes olev fail tegelikult salvestab

PCF on väike ühenduskirjete profiil: host või esmase ja varu paari, rühmanimi ja vihjed selle kohta, kuidas klient peaks mandaate esitama. Selles ei ole protokolliläbirääkimisi, usaldusotsust ega väidet gateway praeguste võimaluste kohta. Selle lugemine ütleb, kuhu vana klient helistas ja millise rühmanime all, ning see osa on tõeliselt kasulik kontekst sellele, kes haldab peaotsa.

Mida see teile öelda ei saa, on see, kas selle hostinime taga olev teenus võtab endiselt vastu sama protokolli või kas konto püsib vihjetega sobivas vormis. Need vastused asuvad gateway ja identiteedihoidlas, seega küsige seal enne ehitamist.

Kolm nõuet, mis näevad välja nagu üks

Esimene nõue on juhtmekompatiblus: klient peab rakendama kaugjuurdepääsuprotokolli, mille gateway lõpetab. Teine on autentimine, kus gateway nõutav meetod — sertifikaat, rühma mandaat pluss MFA või EAP — peab olema selline, mida klient suudab tegelikult täita. Kolmas on poliitika: jaotatud tunnel, DNS, aadressikogumid ja kõik seisundikontrollid, kõik gateway konfigureeritud ja kliendile edastatud profiilis, mille see peab vastu võtma.

PCF pakub nõrka tõendit teise nõude kohta ja sisuliselt mitte mingit kahe teise kohta. Impordifunktsioon hägustab piiri veelgi: klient, mis kaardistab vanad väljad oma vormingusse, võib importimisel õnnestuda, kuid ühendamisel ebaõnnestuda, ja vastupidine on samuti võimalik.

Viis küsimust, mis annavad kasutatava vastuse

Saatke küsimused, mitte fail. Milline kaugjuurdepääsuteenuse ja kliendi kombinatsioon on täna toetatud; millist protokolli see teenus internetti esitab; milline autentimismeetod ja registreerimistee kehtivad; milline profiil, usaldusjuured ja rühma- või MFA-poliitika selle juurde kuuluvad; ja millised osad erinevad vanast ühendusest. Iga vastus vastab ühele kolmest ülalolevast nõudest.

See nimekiri muudab failivormingute arutelu toe otsuseks ja annab tavaliselt õlgade kehitamise asemel dokumentatsioonilingi ja nimega vastutaja. See ütleb ka varakult, kas migreerimine on uus profiil olemasoleva teenuse vastu või gateway muudatus, mida keegi pole veel planeerinud. Küsige kirjalikult, sest vastused saavad selle vastuvõtukriteeriumideks, mida te järgmisena ehitate. Hoidke piletil ka vana rühmanime, sest see on operaatorile sageli kiireim viis sobiva poliitika leidmiseks.

Ümbernimetamine ei tõlgi midagi

Cisco Secure Client dokumenteerib XML-profiile oma protokollivalikutega, seega .pcf ümbernimetamine .xml-ks ei anna ei XML-i ega seadeid. Hostinime kleepimine OpenVPN-faili ei pane IPsec-gateway OpenVPN-i rääkima, ja natiivne IKEv2 klient ei muutu vanema teenusega ühilduvaks ainult sellepärast, et mõlemat kirjeldatakse kui IPsec.

Iga selline käik muudab silti ja jätab juhtme käitumise puutumata, mistõttu tundub tekkiv tõrge muudatusega mitteseotud. Kui gateway ei suuda pakkuda seda, mida uus klient rakendab, on ausad valikud klient, mis räägib endiselt vana protokolli, või planeeritud gateway migreerimine. Nende vahel oletamine maksab nädalaid ega õpeta midagi.

Käsitlege vana profiili tundliku materjalina

Vana profiil võib sisaldada sisemist hostinime, rühmanime ja mõnikord salvestatud mandaate, mis on täpselt see vorm, mida avalikud konverterid ja foorumilõimed koguvad. Laske administraatoril väljad heakskiidetud kanali kaudu lugeda, selle asemel et fail kuhugi üles laadida.

Vastustage kiusatust teha migreerimine sõltuvaks beeta-kliendist, toetuseta külalissüsteemist või nõrgemast autentimisest, mis on valitud aegunud kliendi elus hoidmiseks. Vanad hinnad ja allalaadimislehed ei ole parem tõend kui PCF ise, sest need kirjeldavad teise ajastu õigust, mitte lepingut, mida te nüüd vajate.