Mida seadistada enne kasutaja esimest VPN-ühendust

Esimene VPN-ühendus ebaõnnestub harva tunnelis. See ebaõnnestub siis, kui tavaline kasutaja haldamata võrgus järgib juhiseid, mille kirjutas keegi, kellel oli sertifikaat juba paigaldatud. Profiil, usaldusahel ja mandaat on konfiguratsioon ning kõiki kolme saab enne kasutaja kaasamist kohale toimetada. Sellele kasutajale peaks jääma neli tegevust, mille sees pole ühtegi otsust. Iga lisasamm, mille üleandmisse jätate, muutub tugikõneks, mis algab sellega, et keegi loeb dialoogiakent valjusti ette.

Mida ühendusprofiil tegelikult sisaldab

VPN-profiil ei ole otsetee ega järjehoidja. See on nimega objekt operatsioonisüsteemi ühenduste hoidlas, mis sisaldab serveri aadressi, tunneli tüüpi, autentimismeetodit ja sageli marsruute, DNS-i sufiksid ning päästikureeglid, mis otsustavad, millal see ühendub. Windowsis vastavad need väljad konfiguratsiooniteenuse pakkuja VPNv2 sõlmedele, mistõttu üks profiil võib saabuda Intune'i, Configuration Manageri, ettevalmistuspaketi või käsitsi imporditud XML-faili kaudu.

Klient rakendab seda objekti kindlas järjekorras: valideerib serveri sertifikaadi usaldusväärsete juurte vastu, peab läbirääkimisi tunneli üle ja alles seejärel rakendab marsruutimise ja nimelahenduse, enne kui rakendus võrku näeb. See järjekord selgitab enamikku teateid ühenduse kohta, mis väidab end olevat üleval, samal ajal kui miski ei laadi: autentimine õnnestus ning DNS või marsruudiloend oli see, mis tegelikult ebaõnnestus. Lugege profiili ühe järjestusega objektina, mitte sõltumatute lülitite kogumina. Puuduv usaldusjuur ebaõnnestub esimeses sammus, enne ükskõik millise mandaadi pakkumist, seepärast annab see üldise vea sisselogimisküsimise asemel.

Usaldusmaterjal on väli, mida kõige sagedamini käsitsi sisse smugeldatakse. Lüüsi allkirjastav CA-sertifikaat peab olema enne esimest katset olemas ning serverinime valideerimine peab jääma sisse sobiva nimega; valideerimise väljalülitamine testi läbimiseks muudab autentimisprobleemi vaikseks pealtkuulamiseks, mida ükski kasutaja ei suuda tuvastada.

Neli valikut, mida kasutajad ei tohiks kunagi teha

Protokoll ja tunneli tüüp tulevad esimesena: valige platvormi kohta üks toetatud kombinatsioon ja dokumenteerige lüüsi pool, sest tuttav kaubamärk ei ole ühilduvusavaldus. Järgmisena tuleb lõpp-punkt: üks hostinimi, mis laheneb avalikult ja sobib sertifikaadiga, mille lüüs esitab. Autentimine kuulub identiteedisüsteemi, olgu selleks sertifikaat, kasutajanimi teise faktoriga või mõlemad. Ükski neist ei ole kasutaja eelistus ja ükski ei tohiks juhistes küsimusena ilmuda.

Neljas valik on ulatus: täistunnel või jaotatud tunnel ning millised prefiksid ja DNS-i sufiksid sees liiguvad. Jaotatud tunnel ilma sisemiste sufiksiteta lekitab nimelahenduse kohaliku võrgu pakutavale lahendajale ning täistunnel ilma kohalike ressursside plaanita lõhub printerid ja vangistatud portaalidega. Mõlemad on administraatori otsused kasutajale nähtavate tagajärgedega ja just seepärast peaks kasutaja need saama juba otsustatuna.

Hoidke ühenduse nimi igav ja stabiilne. Kasutajad loevad seda Toele valjusti ette, otsivad kliendiloendist ja mäletavad seda parooli lähtestamiste vahel; selle ümbernimetamine migratsiooni keskel tekitab toe tipphetke, millel pole midagi pistmist sellega, kas VPN töötab.

Toimetage identiteet inimese või seadme kaupa

Profiil on avalik ja privaatvõti ei ole. Levinud juurutusviga on eksportida üks töötav profiil koos oma sertifikaadiga ja faili edasi anda, mis muudab iga sülearvuti ühe identiteedi klooniks ning muudab tühistamise kõik-või-mitte-midagi otsuseks. Registreerige mandaadid selle asemel toetatud protsessi kaudu: seadmepõhine sertifikaat halduskanalist või kasutajapõhine mandaat identiteedipakkujalt.

Seadmetunnelid ja kasutajatunnelid autendivad erinevatel hetkedel ning see erinevus otsustab, millist mandaati vajate. Enne sisselogimist ühenduv seadmetunnel vajab masinasertifikaati ja süsteemile kättesaadavat profiili. Pärast sisselogimist algav kasutajatunnel võib kasutada kasutaja enda mandaati ega tohiks nõuda administraatoriõigusi. Masinatasemelise võrguühenduse lisamine ainult selleks, et kellegi hommikust üks klõps eemaldada, on halb vahetus, sest see avardab seda, kuhu järelevalveta seade pääseb.

Registreerimine on ka koht, kus otsustatakse taastamise tee. Sertifikaadi uuendamine või parooli muutmine peab jõudma seadmeni siis, kui tunnel on maas, seega peavad ettevalmistus, identiteedipakkuja ja lüüs kokku leppima, kuidas see juhtub; kui ainus viis profiili parandada on selle profiili pakutava tunneli kaudu, on võti kasti sisse lukustatud.

Sobitage tarnekanal kliendiga

Põliskliendid ja kolmandate osapoolte kliendid tarnitakse erinevalt. Windowsi profiile saab tarnida VPNv2 ProfileXML-ina Intune'i või Configuration Manageri kaudu, kuid mitte iga sõlm pole igas halduspinnas väljas ning marsruutimise, DNS-i ja päästikuseaded erinevad tööriista ja Windowsi versiooni kaupa. Kinnitage, milline väli on juurutatav, enne kui lubate puudutuseta juurutust, sest profiilivalikute viide dokumenteerib seadeid, mida mõned tarnekanalid ei suuda ikka veel määrata.

Tarnijakliendid lisavad teise kihi, kuna binaarfail, profiil ja peakontrolleri poliitika on eraldi artefaktid. Näiteks Cisco Secure Client toetab nii paketi kui ka selle profiili eeljuurutust ning kliendi versioon tuleb lüüsi konfiguratsiooniga kooskõlastada; ainult paketi paigaldamine jätab kasutaja nõustaja sisse.

Ükskõik millise kanali valite, hoidke profiili jaoks ühte tõeallikat. Parandatud profiil, mille vanem pakett järgmisel kontrollil üle kirjutab, on korduv juhtum, ja püsiv lahendus on versioonitud konfiguratsioon, mitte käsitsi redigeerimine igas masinas.

Testige üleandmist uue kasutajana, seejärel testige taastamist

Tehke piloot tavakontoga seadmes, mis pole kunagi ühendunud, ilma administraatori salvestatud seansita või eelregistreeritud sertifikaadita. Kinnitage, et profiil ilmub loendisse, et sisselogimisküsimine vastab juhistele ja et nimega siseressurss avaneb, seejärel kontrollige nimelahendust ja marsruutimise ulatust, selle asemel et peatuda ühendatud ikoonil.

Pärige seadme profiilihoidlast, et test annaks tõendeid, mitte mulje.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Seejärel käige läbi sündmused, mida kasutajad tegelikult kohtavad: sunnitud parooli lähtestamine, uuendatud sertifikaat, peale surutud kliendiuuendus ja võrk, mida keegi piloodis varem kasutanud pole. Igaüks neist peaks kas toimima või ebaõnnestuma nii, nagu juhised kirjeldavad. Proovige ka võrku, mis blokeerib VPN-i pordi, sest esimene katse hotelli WiFis on koht, kus kodune edu lakkab aitamast. Märkige iga tulemuse kõrvale kliendi versioon ja OS-i build, sest järgmine aruanne saabub ilma nendeta.

Hoidke kasutajale suunatud üleandmine neljas reas: ühenduse nimi, oodatav sisselogimine, ressurss, mis tõestab edu, ja kuhu veateade saata. Kelleltki ei tohiks paluda parooli ega eksporditud võtit, et nurjumist näidata. Arhitektuur, profiili sisemus ja taastamisprotseduur kuuluvad administraatori runbooki, arhiveerituna selle kliendi versiooni kõrvale, millega neid testiti.