VPN zerbitzu bakarra nahikoa da Windows, Mac eta Linux mahaigainetarako?

Hiru ordenagailu eramangarri talde bakarrean, hiru VPN menu desberdin eta konexioak Mac-ean ez beste guztietan funtzionatzen duela dioen txartel bat. Kliente horien atzeko plana berdin-berdina izan daiteke menuak berdinak ez direnean ere. Bat etorri behar duena inplantaziorik gehienek uste dutena baino estuagoa da: atebidearen identitate bakarra, kredentzial mota bakarra, ibilbide-multzo bakarra eta resolvetzailearen politika bakarra. Idatzi horiek lauak inork profila esportatu aurretik, eta plataformen lana ikerketa izan beharrean kontrol-zerrenda bihurtuko da.

Hasi sarbide-kontratutik, ez klientearen fitxategitik

Sarbide-kontratua berrikusle batek hornitzailearen kontsola ireki gabe egiaztatu ditzakeen bost lerro dira. Honako hauek izendatzen ditu: irisgarriak izan behar diren aurrizki pribatuak, ebatzi behar diren barne-izenak, horiei erantzuten dien resolvetzailea, bide lokaletan geratzen utzitako trafikoa eta klienteak ikustea espero behar duen atebidearen ziurtagiria. Inplantazioan beste guztia lerro horiek fitxategi-formatu batera egindako itzulpena da.

Bulegoko adibide batek forma zehatza egiten du: aplikazio-zerbitzariak 10.60.0.0/16 sarean, izen pribatuak corp.example azpian, barne-resolvetzailea 10.61.0.53 helbidean eta nabigazio arrunta gailuak lehendik darabilen bidean utzita. Azken elementu hori politika-erabakia da, ez klientearen lehenetsitako balioa, eta hainbat klientek dena tunelaren bidez bidaliko dute inork kontrakoa esaten ez badu. Erregistratu kontratua datarekin eta arduradunarekin, erregistro horrek esango baitizu geroago tunela aldatu zen edo politika aldatu zen.

Aukeratu defenda dezakezun protokolo bat eta autentifikazio-pare bat

IKEv2 ziurtagiri bidezko atebide-autentifikazioarekin eta erabiltzailearentzako EAP dira ohiko aukera hiru plataformek software gehigarririk gabe funtzionatu behar dutenean, Windows, macOS eta NetworkManager bakoitzak IKEv2 kliente bat baitakar. Arazoa da IKEv2 onartzeak etiketa bat deskribatzen duela, ez funtzio-multzo bat. EAP metodoak, hardwarearen babesa duten gakoak, ziurtagiria kontuarekin lotzeko mapatzea eta berriro konektatze automatikoa plataforma bakoitzeko bereiz ezartzen dira. Hiruretatik bitan funtzionatzen duen konbinazioa nahiko ohikoa da probatu arte horrela suposa dezazun.

Probatu parea helburuko plataforma bakoitzean inplantazio-gida idatzi aurretik, ez ondoren. EAP-MSCHAPv2 eta EAP-TLS biak eskaintzen dituen atebide batek atzeraka egiteko tartea ematen dizu, betiere atzerapena onartutako gisa dokumentatuta badago eta intzidente batean aurkitu ez bada. Onartutako bi bide aseguru merkea dira; dokumentatu gabeko hirugarren bide bat etorkizuneko txartela da.

Pare bakar batek hiru klienteak estaltzen ez dituenean, aukera zintzoak kliente bat gehitzea, atebide-profil bat gehitzea edo onartutako plataformen zerrenda murriztea dira. Gehien kexatzen den plataforman ziurtagirien balidazioa desaktibatzea ez da horietako bat. Aldaketa horrek bateragarritasun-hutsune bat atzemateko arrisku bihurtzen du, eta inplantazioaren ondorengo urrats batek ere ez du konpontzen.

Eraiki kontratutik plataforma bakoitzeko artefaktu bat

Windowsek VPNv2 profila hartzen du, MDM bidez emana edo bertan sortua Add-VpnConnection eta haren XML kargarekin. Mina ematen duten zatiak esparrua eta konfiantza dira. Gailu-esparruko profil bat eta erabiltzaile-esparruko profil bat biltegi desberdinetan instalatzen dira, beraz klienteak behar duen ziurtagiria hautatu duzun esparruari dagokion biltegian egon behar du. Parekatze oker batek garbi inportatzen den eta gero lehen konexioan huts egiten duen profila sortzen du.

macOSek kudeatutako VPN karga duen konfigurazio-profila hartzen du, sinatua eta MDM bidez bidalia edo pilotu baterako eskuz instalatua. Identitatea eta CA katea karga bereizi gisa bidaiatzen dute, horregatik profil bat kexarik gabe instala daiteke eta hala ere huts egin dezake konektatzean. Egiaztatu kargen zerrenda, ez instalazioaren emaitza soilik.

Linux NetworkManagerren atzeko backendaren mende dago, eta strongSwan eta NetworkManager plugina pakete bereiziak dira. Konexio-propietateak pluginaren berariazkoak dira, ez VPN gako orokorrak, beraz beste plugin batetik kopiatutako gakoa sarritan akatsik gabe gordetzen da eta gero aktibatzean huts egiten du. Eraiki konexioa irudi garbi batean pluginak benetan exekutatuko den tokian dagoela ziurtatzeko.

Hiru artefaktuek formatu desberdina dute, baina bakoitzak kontratuaren bost lerro berak kodetzen ditu. Hauxe da artefaktua amaituta dagoen proba: lerro bakoitza nonbait irudikatuta dago, eta ez da ezer gehigarririk asmatu bidean.

Egiaztatu ibilbideak, resolvetzailea eta berriro konektatzea kontu garbi batean

Konektatuta egotea ez da onarpen-proba. Windowsen Get-VpnConnection erakusten du profila eta route print erakusten du aurrizki pribatua tunelaren interfazean kokatu zen. macOSen scutil --nc list zerbitzu aktiboa berresten du, eta scutil --dns sistemak benetan erabiliko duen resolvetzaileen ordena erakusten du.

Linuxen nmcli connection show --active konexioa martxan dagoela frogatzen du eta resolvectl status estekak bakoitzeko DNS erakusten du. Konexio-fitxategian dagoen baina esteka bakoitzeko irteeran falta den resolvetzaile bat DNS zatitua ez dela aplikatzen esan nahi du. Hori da izenak ebazten direlako eta izenak tunelaren bidez ebazten direlakoaren arteko aldea, eta hurrengo urratsa zein laguntza-taldetakoa den aldatzen du. Alderatu esteka bakoitzeko irteera konexioa altxatu aurretik eta ondoren, ez soilik ondoren.

Exekutatu egiaztapen osoa kontu berri batekin, cachean gordetako kredentzialik eta administratzaileak instalatutako ziurtagiririk gabe. Ondoren errepikatu etete eta berrekite baten ondoren, eta beste behin kredentzialak berriro sartzea behartu ondoren. Bi trantsizio horiek lehen konexioak inoiz erakusten ez dituen berriro konektatzeko hutsegite gehienak agerian jartzen dituzte.

Bertsionatu paketea eta mantendu atzerabide bat

Etiketatu plataforma bakoitzeko paketea ezartzen duen kontratu-berrikuspenarekin, eta idatzi zein kliente- eta atebide-bertsioren aurka onartu zenuen. Klientearen eguneratze baten ondoren portaera aldatzen denean, etiketak berriro probatzeko kontratu batera seinalatzen du, asmatzeko fitxategi batera beharrean.

Mantendu plataforma bakoitzeko aurreko paketea eskuragarri, eta idatzi haren ezabatze-komandoa alboan. VPN profil bat desinstalatzea ez da Windows, macOS edo Linuxen instalatzearen irudi ispilua, eta aldeak une okerrenean agertzen dira. Entseatu ezabaketa behin ordezko gailu batean, artxiboa itxaropen izan beharrean plan bihur dadin.