Quels protocoles VPN votre système d’exploitation parle-t-il déjà ?

Avant de télécharger un autre client, regardez ce que le système d’exploitation implémente déjà, car la réponse suffit souvent à éviter complètement l’installateur. Windows, macOS et ChromeOS embarquent chacun une liste fixe et courte de protocoles de tunnel, et une passerelle qui en parle un n’a besoin ni de pilote supplémentaire, ni de service, ni de voie de mise à jour. Ce n’est pas le nom du fournisseur sur la brochure qui décide. Ce sont le protocole, la façon dont le point de terminaison s’authentifie et l’adresse qu’il attend.

Demandez le protocole, pas le nom du produit

Un nom de produit dit très peu de ce qui passe sur le fil. Deux passerelles vendues sous la même étiquette peuvent exiger des tunnels entièrement différents, et l’une peut accepter un client intégré tandis que l’autre refuse tout sauf son propre portail. Deux administrateurs qui décrivent la même boîte peuvent être en désaccord et avoir tous deux raison, parce qu’ils décrivent des couches différentes. Le tunnel en dessous est ce qui décide si un installateur est nécessaire.

Posez trois questions à celui qui exploite la passerelle : quel protocole de tunnel, quelle méthode d’authentification et quelle adresse et quel suffixe DNS le client doit accepter. Demandez le protocole par son nom, et quand la réponse revient sous forme de nom de produit, expliquez pourquoi c’est le protocole qu’il vous faut. Ces trois réponses règlent la question du client avant tout téléchargement de logiciel.

Il y a une raison pour laquelle le nom du produit survit dans autant de tickets. L’URL du portail est ce que les utilisateurs voient, et le tunnel est invisible tant qu’il fonctionne. Écrire le protocole dans la note de passation coûte une ligne et supprime l’ambiguïté pour tous ceux qui viendront après.

Où s’arrête la liste intégrée

Les listes natives sont courtes, et leurs bords comptent plus que leur contenu. Une plateforme qui parle L2TP sur IPsec avec une clé pré-partagée ne parlera pas SSTP, et cette différence décide du client. Le tableau est classé par tunnel et non par fournisseur, vous pouvez donc chercher le protocole nommé par la passerelle.

Lisez la grille en fonction des exigences de la passerelle, pas d’une brochure. Si la réponse est L2TP sur IPsec avec une clé pré-partagée, les trois premières plateformes se connectent sans rien installer de plus. Si la réponse est OpenVPN, seul ChromeOS est couvert avant toute installation. Un protocole qui n’apparaît dans aucune colonne intégrée est le signal honnête qu’un installateur arrive.

Linux est la colonne qui résiste à la généralisation. Sa prise en charge des protocoles vit dans des démons et des greffons que la distribution choisit d’empaqueter, donc une image minimale peut n’en parler aucun tant que vous ne les ajoutez pas, et deux distributions avec le même bureau peuvent différer.

Construisez le profil depuis une ligne de commande

Tout ce que le panneau graphique écrit est stocké quelque part où vous pouvez accéder, et c’est ce qui rend un profil intégré automatisable. Windows conserve les entrées VPN dans des .pbk fichiers sous le profil utilisateur et sous ProgramData, et rasphone peut lister et modifier des entrées que la liste réseau n’affiche pas. Cela compte quand une machine est provisionnée par script et que personne ne cliquera dans un assistant. Cela explique aussi comment un profil peut exister sans jamais apparaître dans la zone de notification.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Modifier à la main un .pbk fichier fonctionne, et c’est aussi le moyen le plus rapide de le corrompre, alors laissez l’outil posséder le format. macOS conserve ses services dans la configuration système, et networksetup les adresse par nom de service ; plusieurs options veulent une adresse plutôt qu’un nom d’hôte, donc résolvez d’abord le point de terminaison et stockez la valeur que le client utilisera réellement. Cette distinction mord pendant l’automatisation, parce qu’un script qui fonctionne avec une adresse peut échouer avec un nom, et l’erreur ressemble à une passerelle cassée plutôt qu’à un argument rejeté.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Les noms de service sont localisés et modifiables par l’utilisateur, donc un script qui code en dur Wi-Fi casse sur la première machine réglée dans une autre langue. Lisez le nom depuis la commande de liste et transmettez-le au lieu de deviner.

Des certificats sans client propriétaire

Certains déploiements ont besoin d’un certificat client et rien d’autre de propriétaire, et c’est le cas intermédiaire qui vaut la peine d’être testé avant d’accepter un pilote. Placer un certificat dans le magasin de la plateforme est pris en charge ; ce n’est pas le même geste que de déposer une racine de fournisseur et de compter sur le client pour la trouver. Le premier est un placement délibéré ; le second est une supposition avec un ticket de support attaché.

Le détail qui attrape les gens, c’est le magasin que le client lit. Un certificat dans le magasin utilisateur est invisible pour un client configuré pour le magasin machine, et le message que vous recevez dit que le certificat manque, pas qu’il se trouve au mauvais endroit. Vérifiez les deux magasins avant de conclure que le certificat est mauvais. Notez lequel la configuration qui fonctionne utilise, car cette note survit au certificat quand la machine est reconstruite.

Windows sépare explicitement les deux magasins, et macOS sépare le trousseau de connexion du trousseau système. Les noms diffèrent, mais le mode de défaillance est identique : un certificat valide que le client ne regarde jamais.

Ce qui impose un installateur

Certaines passerelles lient le client à un magasin de certificats privé, à un agent de posture ou à un échange de connexion que le système d’exploitation ne sait pas effectuer. Les déploiements bâtis sur du matériel Check Point, Cisco ou Fortinet y atterrissent souvent, et dans ces cas le client intégré n’est pas un raccourci. Un remplacement tiers peut se connecter et violer quand même la politique, ce qui en fait une décision de sécurité et non de confort. Installez ce que la politique exige et consignez la raison à côté de la version de l’installateur.

Cet enregistrement est la partie que les gens sautent et celle qui fait gagner une semaine au prochain administrateur : protocole, méthode d’authentification, famille d’adresses et suffixe requis, avec une ligne de justification pour chaque binaire qui a dû être ajouté. Placez-le là où vivent les notes d’installateur, pas dans un fil de discussion. Deux lignes de documentation évitent une enquête répétée.