Perfil VPN só con PCF: que preguntar antes de migrar

Alguén lle entrega un ficheiro .pcf e un portátil e espera que a conexión funcione exactamente como hai anos. Normalmente non o fará, e o formato do ficheiro raramente é a causa. Un PCF rexistra os parámetros que un antigo Cisco VPN Client necesitaba para chegar a un concentrador concreto; non di nada sobre se un cliente actual pode seguir falando con ese servizo. O ficheiro é unha proba dunha conexión pasada, non un contrato para a seguinte.

Separar esa proba dos requisitos é toda a tarefa. O que o propietario da pasarela lle debe é unha combinación compatible de cliente, protocolo, método de autenticación e formato de perfil, que é unha cuestión distinta de se algunha aplicación abrirá o seu perfil antigo.

Que rexistra realmente o ficheiro que ten na man

Un PCF é un pequeno perfil de entradas de conexión: unha máquina ou un par primario e de reserva, un nome de grupo e pistas sobre como debe presentar o cliente as credenciais. Non leva negociación de protocolo, nin decisión de confianza, nin declaración das capacidades actuais da pasarela. Leelo dille onde marcaba o cliente antigo e con que nome de grupo, e esa parte é un contexto realmente útil para quen xestiona o extremo principal.

O que non pode dicirlle é se o servizo detrás dese nome de máquina segue aceptando o mesmo protocolo, ou se a conta sobrevive nunha forma que encaixe coas pistas. Esas respostas viven na pasarela e no almacén de identidades, así que pregunte alí antes de construír.

Tres requisitos que parecen un

O primeiro requisito é a compatibilidade de cable: o cliente debe implementar o protocolo de acceso remoto que termina a pasarela. O segundo é a autenticación, onde o método que esixe a pasarela —certificado, credencial de grupo máis MFA ou EAP— ten que ser un que o cliente poida realizar de verdade. O terceiro é a política: túnel dividido, DNS, pools de enderezos e calquera comprobación de estado, todo configurado na pasarela e entregado ao cliente nun perfil que debe aceptar.

Un PCF ofrece unha proba feble sobre o segundo requisito e practicamente ningunha sobre os outros dous. Unha función de importación difumina aínda máis o límite: un cliente que asigna campos herdados ao seu propio formato pode ter éxito ao importar e fallar ao conectar, e o contrario tamén é posible.

Cinco preguntas que producen unha resposta útil

Envíe preguntas en lugar do ficheiro. Que combinación de servizo de acceso remoto e cliente se admite hoxe; que protocolo presenta ese servizo a internet; que método de autenticación e ruta de inscrición se aplican; que perfil, ancoraxes de confianza e política de grupo ou MFA lle corresponden; e que partes difiren da conexión antiga. Cada resposta corresponde a un dos tres requisitos anteriores.

Esa lista converte unha discusión sobre formatos de ficheiro nunha decisión sobre soporte, e normalmente devolve unha ligazón á documentación e un responsable con nome en lugar de encoller os ombreiros. Tamén lle di cedo se a migración é un perfil novo contra un servizo existente ou un cambio de pasarela que ninguén planificou aínda. Pregunte por escrito, porque as respostas convértense nos criterios de aceptación do que constrúa despois. Garde tamén o nome de grupo antigo no ticket, xa que adoita ser a vía máis rápida para que o operador localice a política correspondente.

Renomear non traduce nada

Cisco Secure Client documenta os perfís XML coas súas propias opcións de protocolo, así que renomear un .pcf a .xml non produce nin XML nin axustes. Pegar un nome de máquina nun ficheiro OpenVPN non fai que unha pasarela IPsec fale OpenVPN, e un cliente IKEv2 nativo non se volve compatible cun servizo máis antigo só porque ambos se describan como IPsec.

Cada un deses movementos cambia unha etiqueta e deixa intacto o comportamento do cable, e por iso o fallo resultante parece alleo á edición. Cando a pasarela non pode ofrecer o que implementa o cliente novo, as opcións honestas son un cliente que aínda fala o protocolo antigo ou unha migración de pasarela planificada. Adiviñar entre ambas custa semanas e non ensina nada.

Trate o perfil antigo como material sensible

Un perfil antigo pode conter un nome de máquina interno, un nome de grupo e ás veces material de credenciais almacenado, que é exactamente a forma de cousa que recollen os conversores públicos e os fíos de foro. Faga que un administrador lea os campos por unha canle aprobada en lugar de subir o ficheiro a calquera sitio.

Resista a tentación de facer depender a migración dun cliente beta, un sistema convidado non compatible ou unha autenticación máis feble elixida para manter vivo un cliente obsoleto. Os prezos e as páxinas de descarga antigos non son mellor proba que o propio PCF, porque describen un dereito doutra época e non o contrato que agora necesita.