Voiko yksi VPN-palvelu kattaa Windows-, Mac- ja Linux-työpöydät?

Kolme kannettavaa yhdessä tiimissä, kolme erilaista VPN-valikkoa ja tiketti, jonka mukaan yhteys toimii kaikkialla paitsi Macilla. Noiden asiakkaiden takana oleva suunnitelma voi olla identtinen, vaikka valikot eivät olisi. Sen, minkä on täsmättävä, on kapeampi kuin useimmat käyttöönotot olettavat: yksi yhdyskäytävän identiteetti, yksi kirjautumistietotyyppi, yksi reittijoukko ja yksi resolverikäytäntö. Kirjoita ne neljä muistiin ennen kuin kukaan vie profiilia, ja alustatyöstä tulee tarkistuslista tutkinnan sijaan.

Aloita käyttöoikeussopimuksesta, ei asiakastiedostosta

Käyttöoikeussopimus on viisi riviä, jotka katselmoija voi tarkistaa avaamatta toimittajan konsolia. Se nimeää yksityiset etuliitteet, joiden on oltava tavoitettavissa, sisäiset nimet, jotka on ratkaistava, resolverin, joka vastaa niistä, liikenteen, jonka sallitaan jäädä paikalliselle polulle, ja yhdyskäytävän varmenteen, jota asiakkaan pitäisi odottaa näkevänsä. Kaikki muu käyttöönotossa on noiden rivien kääntämistä tiedostomuotoon.

Toimistoesimerkki tekee muodosta konkreettisen: sovelluspalvelimet 10.60.0.0/16-verkossa, yksityiset nimet corp.example-aliverkkotunnuksen alla, sisäinen resolveri osoitteessa 10.61.0.53 ja tavallinen selailu jätettynä polulle, jota laite jo käyttää. Viimeinen kohta on käytäntöpäätös eikä asiakkaan oletusarvo, ja useat asiakkaat lähettävät kaiken tunnelin läpi, jos kukaan ei sano toisin. Kirjaa sopimus päivämäärällä ja omistajalla, sillä juuri se kirjaus kertoo myöhemmin, muuttuiko tunneli vai käytäntö.

Valitse yksi protokolla ja yksi todennuspari, jota voit puolustaa

IKEv2 varmenteeseen perustuvalla yhdyskäytävän todennuksella ja EAP käyttäjälle on tavallinen valinta, kun kaikkien kolmen alustan on toimittava ilman lisäohjelmia, koska Windows, macOS ja NetworkManager toimittavat kukin IKEv2-asiakkaan. Ongelma on, että IKEv2:n tukeminen kuvaa tarran, ei ominaisuusjoukkoa. EAP-menetelmät, laitteistopohjaiset avaimet, varmenteen yhdistäminen tiliin ja automaattinen uudelleenyhdistäminen toteutetaan alustakohtaisesti. Yhdistelmä, joka toimii kahdella kolmesta, on tarpeeksi yleinen, että se kannattaa olettaa, kunnes se on testattu.

Testaa pari jokaisella kohdealustalla ennen käyttöönotto-oppaan kirjoittamista, ei sen jälkeen. Yhdyskäytävä, joka tarjoaa sekä EAP-MSCHAPv2:n että EAP-TLS:n, antaa tilaa perääntyä, edellyttäen että perääntyminen on dokumentoitu tuetuksi eikä havaittu tapahtuman aikana. Kaksi tuettua polkua on halpa vakuutus; dokumentoimaton kolmas polku on tulevaisuuden tiketti.

Kun mikään pari ei kata kaikkia kolmea asiakasta, rehelliset vaihtoehdot ovat asiakkaan lisääminen, yhdyskäytäväprofiilin lisääminen tai tuettujen alustojen listan kaventaminen. Varmenteen validoinnin poistaminen käytöstä alustalla, joka valittaa äänekkäimmin, ei ole yksi niistä. Tämä muutos muuttaa yhteensopivuusaukon sieppausriskiksi, eikä mikään myöhempi käyttöönoton vaihe korjaa sitä.

Rakenna yksi artefakti alustaa kohden sopimuksesta

Windows ottaa VPNv2-profiilin, jonka MDM toimittaa tai joka luodaan paikallisesti komennolla Add-VpnConnection ja sen XML-hyötykuormalla. Purevat kohdat ovat laajuus ja luottamus. Laitekohtainen profiili ja käyttäjäkohtainen profiili asennetaan eri säilöihin, joten asiakkaan tarvitsema varmenne on säilössä, joka vastaa valittua laajuutta. Väärä pari tuottaa profiilin, joka tuodaan siististi ja joka sitten epäonnistuu ensimmäisessä yhteydessä.

macOS ottaa määritysprofiilin, jossa on hallittu VPN-hyötykuorma, allekirjoitettuna ja MDM:n kautta työnnettynä tai pilotille käsin asennettuna. Identiteetti ja CA-ketju kulkevat erillisinä hyötykuormina, minkä vuoksi profiili voi asentua valittamatta ja silti epäonnistua yhdistettäessä. Tarkista hyötykuormien luettelo, älä vain asennuksen tulosta.

Linux riippuu NetworkManagerin takana olevasta taustajärjestelmästä, ja strongSwan ja NetworkManager-liitännäinen ovat erillisiä paketteja. Yhteyden ominaisuudet ovat liitännäiskohtaisia eivätkä yleisiä VPN-avaimia, joten toisesta liitännäisestä kopioitu avain tallentuu usein virheettä ja epäonnistuu sitten aktivoinnissa. Rakenna yhteys puhtaalle kuvalle varmistaaksesi, että liitännäinen on siellä, missä se todella toimii.

Kolme artefaktia eroavat muodoltaan, mutta kukin koodaa samat viisi sopimusriviä. Tämä on testi siitä, onko artefakti valmis: jokainen rivi on esillä jossain, eikä mitään ylimääräistä keksitty matkan varrella.

Varmista reitit, resolveri ja uudelleenyhdistäminen puhtaalla tilillä

Yhdistetty ei ole hyväksymistesti. Windowsissa Get-VpnConnection näyttää profiilin ja route print näyttää, laskeutuiko yksityinen etuliite tunnelin rajapinnalle. macOSissa scutil --nc list vahvistaa aktiivisen palvelun, kun taas scutil --dns näyttää resolverijärjestyksen, jota järjestelmä todella käyttää.

Linuxissa nmcli connection show --active todistaa, että yhteys on ylhäällä, ja resolvectl status näyttää DNS:n linkeittäin. Resolveri, joka on yhteystiedostossa mutta puuttuu linkkikohtaisesta tulosteesta, tarkoittaa, että jaettua DNS:ää ei sovelleta. Se on ero nimien, jotka ratkeavat, ja nimien, jotka ratkeavat tunnelin kautta, välillä, ja se muuttaa, mikä tukitiimi omistaa seuraavan vaiheen. Vertaa linkkikohtaista tulostetta ennen yhteyden nousua ja sen jälkeen, älä vain jälkeen.

Aja koko tarkistus tuoreella tilillä, jossa ei ole välimuistiin tallennettuja kirjautumistietoja eikä järjestelmänvalvojan asentamaa varmennetta. Toista se sitten keskeytyksen ja jatkamisen jälkeen ja vielä kerran pakotettuasi kirjautumistietojen uudelleensyötön. Nämä kaksi siirtymää tuovat esiin useimmat uudelleenyhdistämisvirheet, joita ensimmäinen yhteys ei koskaan näytä.

Versioi paketti ja pidä paluupolku

Merkitse jokainen alustapaketti sopimusversiolla, jonka se toteuttaa, ja kirjaa asiakas- ja yhdyskäytäväversiot, joita vasten hyväksyit sen. Kun toiminta muuttuu asiakaspäivityksen jälkeen, merkintä osoittaa uudelleen testattavaan sopimukseen eikä arvattavaan tiedostoon.

Pidä kunkin alustan edellinen paketti saatavilla ja kirjoita sen poistokomento viereen. VPN-profiilin asennuksen poistaminen ei ole asennuksen peilikuva Windowsissa, macOS:ssa tai Linuxissa, ja erot näkyvät kaikkein huonoimpana hetkenä. Harjoittele poisto kerran varalaitteella, jotta arkistosta tulee suunnitelma eikä toive.