Profil VPN PCF uniquement : ce qu'il faut demander avant de migrer

Quelqu'un vous tend un fichier .pcf et un ordinateur portable en attendant que la connexion fonctionne exactement comme il y a des années. En général, elle ne fonctionnera pas, et le format du fichier en est rarement la cause. Un PCF enregistre les paramètres dont un ancien Cisco VPN Client avait besoin pour joindre un concentrateur précis ; il ne dit rien de la capacité d'un client actuel à parler encore à ce service. Le fichier est une preuve d'une connexion passée, pas un contrat pour la suivante.

Séparer cette preuve des exigences, c'est tout le travail. Ce que le propriétaire de la passerelle vous doit, c'est une combinaison prise en charge de client, de protocole, de méthode d'authentification et de format de profil, ce qui est une autre question que de savoir si une application ouvrira votre ancien profil.

Ce que le fichier entre vos mains enregistre réellement

Un PCF est un petit profil d'entrées de connexion : un hôte ou une paire primaire et de secours, un nom de groupe et des indications sur la manière dont le client doit présenter ses identifiants. Il ne comporte aucune négociation de protocole, aucune décision de confiance et aucune déclaration sur les capacités actuelles de la passerelle. Le lire vous dit où l'ancien client se connectait et sous quel nom de groupe, et cette partie est un contexte réellement utile pour qui gère l'extrémité principale.

Ce qu'il ne peut pas vous dire, c'est si le service derrière ce nom d'hôte accepte toujours le même protocole, ou si le compte subsiste sous une forme compatible avec les indications. Ces réponses se trouvent sur la passerelle et dans le magasin d'identités, alors demandez-y avant de construire.

Trois exigences qui ressemblent à une seule

La première exigence est la compatibilité sur le réseau : le client doit implémenter le protocole d'accès distant que la passerelle termine. La deuxième est l'authentification, où la méthode exigée par la passerelle — certificat, identifiant de groupe avec MFA, ou EAP — doit être une que le client peut réellement exécuter. La troisième est la politique : tunnel divisé, DNS, pools d'adresses et tout contrôle de posture, le tout configuré sur la passerelle et remis au client dans un profil qu'il doit accepter.

Un PCF fournit une preuve faible sur la deuxième exigence et pratiquement aucune sur les deux autres. Une fonction d'importation brouille encore la frontière : un client qui transpose d'anciens champs dans son propre format peut réussir l'importation tout en échouant à se connecter, et l'inverse est également possible.

Cinq questions qui produisent une réponse utilisable

Envoyez des questions plutôt que le fichier. Quelle combinaison de service d'accès distant et de client est prise en charge aujourd'hui ; quel protocole ce service présente à internet ; quelle méthode d'authentification et quel parcours d'enrôlement s'appliquent ; quel profil, quelles ancres de confiance et quelle politique de groupe ou MFA lui correspondent ; et quelles parties diffèrent de l'ancienne connexion. Chaque réponse correspond à l'une des trois exigences ci-dessus.

Cette liste transforme une discussion sur des formats de fichiers en décision sur le support, et renvoie généralement un lien de documentation et un responsable nommé au lieu d'un haussement d'épaules. Elle vous dit aussi tôt si la migration est un nouveau profil face à un service existant, ou un changement de passerelle que personne n'a encore planifié. Demandez par écrit, car les réponses deviennent les critères d'acceptation de ce que vous construirez ensuite. Gardez aussi l'ancien nom de groupe dans le ticket, car c'est souvent le moyen le plus rapide pour l'exploitant de retrouver la politique correspondante.

Renommer ne traduit rien

Cisco Secure Client documente les profils XML avec ses propres choix de protocole, donc renommer un .pcf en .xml ne produit ni XML ni réglages. Coller un nom d'hôte dans un fichier OpenVPN ne fait pas parler OpenVPN à une passerelle IPsec, et un client IKEv2 natif ne devient pas compatible avec un service plus ancien simplement parce que les deux sont décrits comme IPsec.

Chacun de ces gestes change une étiquette et laisse le comportement sur le réseau intact, ce qui explique pourquoi l'échec qui en résulte semble sans rapport avec la modification. Quand la passerelle ne peut pas offrir ce que le nouveau client implémente, les options honnêtes sont un client qui parle encore l'ancien protocole ou une migration de passerelle planifiée. Deviner entre les deux coûte des semaines et n'apprend rien.

Traitez l'ancien profil comme un document sensible

Un ancien profil peut contenir un nom d'hôte interne, un nom de groupe et parfois des identifiants stockés, ce qui est exactement la forme de chose que les convertisseurs publics et les fils de forum collectent. Faites lire les champs par un administrateur via un canal approuvé au lieu de téléverser le fichier n'importe où.

Résistez à la tentation de faire dépendre la migration d'un client bêta, d'un système invité non pris en charge ou d'une authentification plus faible choisie pour maintenir en vie un client obsolète. Les anciens prix et pages de téléchargement ne valent pas mieux comme preuve que le PCF lui-même, car ils décrivent un droit d'une autre époque et non le contrat dont vous avez besoin aujourd'hui.