פרופיל VPN מבוסס PCF בלבד: מה לשאול לפני ההגירה

מישהו מוסר לך קובץ .pcf ומחשב נייד ומצפה שהחיבור יעבוד בדיוק כפי שעבד לפני שנים. בדרך כלל זה לא יקרה, ולעיתים רחוקות פורמט הקובץ הוא הסיבה. PCF רושם את הפרמטרים שנדרשו ל-Cisco VPN Client ישן כדי להגיע לרכז מסוים; הוא אינו אומר דבר על האם לקוח עכשווי עדיין יכול לדבר עם השירות הזה. הקובץ הוא ראיה על חיבור קודם, לא חוזה לחיבור הבא.

הפרדת הראיה הזו מהדרישות היא כל המשימה. מה שבעל השער חייב לך הוא שילוב נתמך של לקוח, פרוטוקול, שיטת אימות ופורמט פרופיל, וזו שאלה אחרת מהשאלה האם איזו תוכנה תפתח את הפרופיל הישן שלך.

מה הקובץ שבידך באמת רושם

PCF הוא פרופיל קטן של רשומות חיבור: מארח או זוג ראשי וגיבוי, שם קבוצה, ורמזים כיצד הלקוח צריך להציג אישורים. אין בו משא ומתן על פרוטוקול, אין החלטת אמון ואין הצהרה על יכולותיו הנוכחיות של השער. קריאתו אומרת לך לאן הלקוח הישן חייג ובאיזה שם קבוצה, וחלק זה הוא הקשר מועיל באמת למי שאחראי על הקצה הראשי.

מה שהוא לא יכול לומר לך הוא האם השירות שמאחורי שם המארח הזה עדיין מקבל את אותו פרוטוקול, או האם החשבון שורד בצורה שמתאימה לרמזים. התשובות האלה נמצאות בשער ובמאגר הזהויות, אז שאל שם לפני שאתה בונה.

שלוש דרישות שנראות כאחת

הדרישה הראשונה היא תאימות ברמת הרשת: הלקוח חייב לממש את פרוטוקול הגישה מרחוק שהשער מסיים. השנייה היא אימות, שבו השיטה שהשער דורש — תעודה, אישורי קבוצה בתוספת MFA, או EAP — חייבת להיות כזו שהלקוח באמת יכול לבצע. השלישית היא מדיניות: מנהרה מפוצלת, DNS, מאגרי כתובות וכל בדיקות מצב, הכול מוגדר בשער ונמסר ללקוח בפרופיל שעליו לקבל.

PCF מספק ראיה חלשה לגבי הדרישה השנייה וכמעט כלום לגבי השתיים האחרות. תכונת ייבוא מטשטשת את הגבול עוד יותר: לקוח שממפה שדות ישנים לפורמט שלו עשוי להצליח בייבוא ולכישלון בהתחברות, וההפך גם אפשרי.

חמש שאלות שנותנות תשובה שמישה

שלח שאלות ולא את הקובץ. איזה שילוב של שירות גישה מרחוק ושל לקוח נתמך היום; איזה פרוטוקול השירות מציג לאינטרנט; איזו שיטת אימות ומסלול רישום חלים; איזה פרופיל, עוגני אמון ומדיניות קבוצה או MFA שייכים לו; ואילו חלקים שונים מהחיבור הישן. כל תשובה ממופה לאחת משלוש הדרישות שלמעלה.

הרשימה הזו הופכת דיון על פורמטי קבצים להחלטה על תמיכה, והיא בדרך כלל מחזירה קישור לתיעוד ובעלים בשם במקום משיכת כתפיים. היא גם אומרת לך מוקדם אם ההגירה היא פרופיל חדש מול שירות קיים, או שינוי בשער שאיש עוד לא תכנן. שאל בכתב, כי התשובות הופכות לקריטריוני הקבלה של מה שתבנה בהמשך. שמור גם את שם הקבוצה הישן בכרטיס, כי לעיתים קרובות זו הדרך המהירה ביותר למפעיל לאתר את המדיניות המתאימה.

שינוי שם לא מתרגם דבר

Cisco Secure Client מתעד פרופילי XML עם בחירות הפרוטוקול שלו, ולכן שינוי שם של .pcf ל-.xml אינו מייצר XML ולא הגדרות. הדבקת שם מארח בקובץ OpenVPN לא תגרום לשער IPsec לדבר OpenVPN, ולקוח IKEv2 מקורי לא הופך לתואם לשירות ישן יותר רק מפני ששניהם מתוארים כ-IPsec.

כל אחת מהתנועות האלה משנה תווית ומשאירה את ההתנהגות ברשת ללא שינוי, ולכן הכשל הנובע נראה לא קשור לעריכה. כשהשער לא יכול להציע את מה שהלקוח החדש מממש, האפשרויות הכנות הן לקוח שעדיין מדבר את הפרוטוקול הישן או הגירת שער מתוכננת. ניחוש בין השניים עולה שבועות ולא מלמד דבר.

התייחס לפרופיל הישן כאל חומר רגיש

פרופיל ישן עשוי להכיל שם מארח פנימי, שם קבוצה ולפעמים חומר אישורים שמור, וזה בדיוק הצורה של דבר שממירים ציבוריים ושרשורי פורום אוספים. תן למנהל מערכת לקרוא את השדות בערוץ מאושר במקום להעלות את הקובץ לאנשהו.

התנגד לפיתוי לתלות את ההגירה בלקוח בטא, במערכת אורחת לא נתמכת או באימות חלש יותר שנבחר כדי להשאיר לקוח מיושן בחיים. מחירים ועמודי הורדה ישנים אינם ראיה טובה יותר מה-PCF עצמו, כי הם מתארים זכאות מעידן אחר ולא את החוזה שאתה צריך עכשיו.