چه چیزهایی را پیش از نخستین اتصال VPN کاربر پیکربندی کنیم

نخستین اتصال VPN به‌ندرت در تونل شکست می‌خورد. زمانی شکست می‌خورد که کاربری معمولی، در شبکه‌ای بدون مدیریت، دستورالعملی را دنبال کند که کسی نوشته که از پیش گواهی را نصب کرده بود. پروفایل، زنجیره اعتماد و اعتبارنامه پیکربندی‌اند و هر سه می‌توانند پیش از درگیر شدن کاربر تحویل شوند. آنچه برای آن کاربر می‌ماند باید چهار کنش بدون هیچ تصمیمی درونشان باشد. هر گام اضافه‌ای که در تحویل باقی بگذارید به تماس پشتیبانی تبدیل می‌شود که با خواندن بلند یک کادر گفتگو توسط کسی آغاز می‌شود.

پروفایل اتصال در واقع چه چیزی را حمل می‌کند

پروفایل VPN میان‌بر یا نشانک نیست. شیئی نام‌دار در مخزن اتصال سیستم‌عامل است که نشانی سرور، نوع تونل، روش احراز هویت و اغلب مسیرها، پسوندهای DNS و قواعد فعال‌سازی را نگه می‌دارد که تعیین می‌کنند چه وقت متصل شود. در Windows این فیلدها به گره‌های ارائه‌دهنده سرویس پیکربندی VPNv2 نگاشت می‌شوند، از این رو یک پروفایل می‌تواند از راه Intune، Configuration Manager، بسته تأمین یا فایل XML واردشده دستی برسد.

کلاینت آن شیء را به ترتیبی ثابت اعمال می‌کند: گواهی سرور را در برابر ریشه‌های مورد اعتماد اعتبارسنجی می‌کند، بر سر تونل مذاکره می‌کند و تنها پس از آن مسیریابی و حل نام را اعمال می‌کند، پیش از آنکه برنامه‌ای شبکه‌ای ببیند. همین ترتیب بیشتر گزارش‌های اتصالی را توضیح می‌دهد که می‌گوید برپاست در حالی که چیزی بارگذاری نمی‌شود: احراز هویت موفق شده و DNS یا فهرست مسیرها همان چیزی است که واقعاً شکست خورده. پروفایل را شیئی واحد با یک توالی بخوانید، نه مجموعه‌ای از کلیدهای مستقل. ریشه اعتماد غایب در گام نخست شکست می‌خورد، پیش از ارائه هر اعتبارنامه، و از این رو خطای عمومی می‌دهد نه درخواست ورود.

ماده اعتماد همان فیلدی است که بیشتر وقت‌ها دستی قاچاق می‌شود. گواهی CA که دروازه را امضا می‌کند باید پیش از نخستین تلاش حاضر باشد و اعتبارسنجی نام سرور باید با نامی منطبق روشن بماند؛ خاموش کردن اعتبارسنجی برای قبولی یک آزمون، مسئله احراز هویت را به شنود خاموشی تبدیل می‌کند که هیچ کاربری نمی‌تواند آن را تشخیص دهد.

چهار انتخابی که کاربران هرگز نباید بکنند

پروتکل و نوع تونل نخست می‌آیند: برای هر سکو یک ترکیب پشتیبانی‌شده انتخاب کنید و سمت دروازه را مستند کنید، چون نام تجاری آشنا بیانیه سازگاری نیست. سپس نقطه پایانی: یک نام میزبان که به‌صورت عمومی حل شود و با گواهی‌ای که دروازه ارائه می‌دهد بخواند. احراز هویت به نظام هویت تعلق دارد، خواه گواهی باشد، خواه نام کاربری با عامل دوم، خواه هر دو. هیچ‌یک از این‌ها ترجیح کاربر نیست و هیچ‌یک نباید در دستورالعمل به‌صورت پرسش ظاهر شود.

انتخاب چهارم گستره است: تونل کامل یا تونل تقسیم‌شده، و اینکه کدام پیشوندها و پسوندهای DNS درونش سفر می‌کنند. تونل تقسیم‌شده بدون پسوندهای داخلی، حل نام را به هر حل‌کننده‌ای که شبکه محلی عرضه کند نشت می‌دهد و تونل کامل بدون طرح منابع محلی چاپگرها و دروازه‌های اسیر را می‌شکند. هر دو تصمیم مدیر با اثرهای دیدنی برای کاربرند و دقیقاً به همین دلیل کاربر باید آن‌ها را از پیش حل‌شده دریافت کند.

نام اتصال را خسته‌کننده و پایدار نگه دارید. کاربران آن را با صدای بلند برای پشتیبانی می‌خوانند، در فهرست کلاینت جست‌وجو می‌کنند و میان بازنشانی‌های گذرواژه به یاد می‌سپارند؛ تغییر نامش در میانه مهاجرت جهشی در پشتیبانی می‌سازد که هیچ ربطی به کارکرد VPN ندارد.

هویت را به‌ازای هر شخص یا هر دستگاه تحویل دهید

پروفایل عمومی است و کلید خصوصی نیست. اشتباه رایج در استقرار این است که یک پروفایل کارآمد را همراه گواهی‌اش صادر کنند و فایل را دست‌به‌دست بگردانند، که هر لپ‌تاپ را کلونی از یک هویت می‌کند و ابطال را به تصمیمی همه‌یا‌هیچ بدل می‌سازد. در عوض اعتبارنامه‌ها را از راه فرایند پشتیبانی‌شده ثبت‌نام کنید: گواهی به‌ازای دستگاه از کانال مدیریت، یا اعتبارنامه به‌ازای کاربر از ارائه‌دهنده هویت.

تونل‌های دستگاه و تونل‌های کاربر در لحظه‌های متفاوت احراز هویت می‌کنند و همین تفاوت تعیین می‌کند به کدام اعتبارنامه نیاز دارید. تونل دستگاهی که پیش از ورود متصل می‌شود به گواهی ماشین و پروفایلی نیاز دارد که برای سیستم در دسترس باشد. تونل کاربری که پس از ورود آغاز می‌شود می‌تواند از اعتبارنامه خود کاربر استفاده کند و نباید به حقوق مدیر نیاز داشته باشد. افزودن دسترسی شبکه در سطح ماشین تنها برای حذف یک کلیک از صبح کسی معامله بدی است، چون گستره دسترسی دستگاهی بی‌ناظر را فراخ‌تر می‌کند.

ثبت‌نام همان جایی است که مسیر بازیابی تعیین می‌شود. تمدید گواهی یا تغییر گذرواژه باید وقتی تونل پایین است به دستگاه برسد، پس تأمین، ارائه‌دهنده هویت و دروازه باید بر سر چگونگی آن توافق کنند؛ اگر تنها راه تعمیر پروفایل از دل تونلی باشد که همان پروفایل فراهم می‌کند، کلید درون جعبه قفل است.

کانال تحویل را با کلاینت هم‌خوان کنید

کلاینت‌های بومی و شخص ثالث متفاوت تحویل می‌شوند. پروفایل‌های Windows می‌توانند به‌صورت VPNv2 ProfileXML از راه Intune یا Configuration Manager تحویل شوند، اما هر گره در هر سطح مدیریتی نمایان نیست و تنظیمات مسیریابی، DNS و فعال‌سازی بر حسب ابزار و نسخه Windows تفاوت می‌کند. پیش از وعده استقرار بی‌تماس تأیید کنید کدام فیلد قابل استقرار است، چون مرجع گزینه‌های پروفایل تنظیماتی را مستند می‌کند که برخی مسیرهای تحویل هنوز نمی‌توانند تعیین کنند.

کلاینت‌های فروشندگان لایه دومی می‌افزایند، چون باینری، پروفایل و سیاست سرور جداگانه‌اند. برای نمونه Cisco Secure Client استقرار پیشین هم بسته و هم پروفایلش را پشتیبانی می‌کند و نسخه کلاینت باید با پیکربندی دروازه هماهنگ شود؛ نصب تنها بسته کاربر را درون یک جادوگر رها می‌کند.

هر کانالی که برگزینید، یک منبع حقیقت برای پروفایل نگه دارید. پروفایل تعمیرشده‌ای که بسته قدیمی‌تر در بررسی بعدی بازنویسی‌اش می‌کند رخدادی تکرارشونده است و راه‌حل پایدار پیکربندی نسخه‌دار است نه ویرایش دستی روی هر ماشین.

تحویل را همچون کاربری تازه بیازمایید، سپس بازیابی را بیازمایید

با حسابی معمولی روی دستگاهی که هرگز متصل نشده آزمایش کنید، بدون نشست ذخیره‌شده مدیر یا گواهی از پیش ثبت‌شده. تأیید کنید که پروفایل در فهرست پدیدار می‌شود، درخواست ورود با دستورالعمل می‌خواند و منبع داخلی نام‌داری باز می‌شود، سپس حل نام و گستره مسیریابی را بررسی کنید نه اینکه بر نماد متصل بایستید.

مخزن پروفایل دستگاه را بپرسید تا آزمون شاهد تولید کند نه برداشت.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

سپس رخدادهایی را که کاربران واقعاً می‌بینند بپیمایید: بازنشانی اجباری گذرواژه، گواهی تمدیدشده، به‌روزرسانی رانده‌شده کلاینت و شبکه‌ای که هیچ‌کس در آزمایش پیشین به کار نبرده است. هر یک باید یا کار کند یا به همان شیوه‌ای شکست بخورد که دستورالعمل توصیف می‌کند. شبکه‌ای را هم بیازمایید که درگاه VPN را می‌بندد، چون نخستین تلاش روی Wi-Fi هتل همان جایی است که موفقیت خانه دیگر کمک نمی‌کند. نسخه کلاینت و بیلد سیستم‌عامل را کنار هر نتیجه بنویسید، چون گزارش بعدی بدون آن‌ها خواهد رسید.

تحویل رو به کاربر را در چهار خط نگه دارید: نام اتصال، ورود مورد انتظار، منبعی که موفقیت را اثبات می‌کند و اینکه متن خطا کجا فرستاده شود. نباید از کسی گذرواژه یا کلید صادرشده خواست تا شکستی را نشان دهد. معماری، درون پروفایل و رویه بازیابی به دفترچه مدیر تعلق دارند، بایگانی‌شده کنار نسخه کلاینتی که با آن آزموده شده‌اند.