Lefedhet egyetlen VPN-szolgáltatás Windows, Mac és Linux asztali gépeket?

Három laptop egy csapatban, három különböző VPN-menü, és egy jegy, amely szerint a kapcsolat mindenhol működik, kivéve a Macet. A kliensek mögötti terv lehet azonos akkor is, ha a menük nem azok. Aminek illeszkednie kell, szűkebb, mint amit a bevezetések többsége feltételez: egy átjáró-identitás, egy hitelesítőadat-típus, egy útvonalkészlet és egy feloldószabály. Írja le ezt a négyet, mielőtt bárki profilfájlt exportál, és a platformmunka vizsgálat helyett ellenőrzőlistává válik.

A hozzáférési szerződéssel kezdje, ne a kliensfájllal

A hozzáférési szerződés öt sor, amelyet egy bíráló a szállító konzoljának megnyitása nélkül ellenőrizhet. Megnevezi a privát előtagokat, amelyeknek elérhetőnek kell lenniük, a feloldandó belső neveket, az ezekre válaszoló feloldót, a helyi útvonalon maradható forgalmat és az átjáró tanúsítványát, amelyet a kliensnek látnia kell. A bevezetés minden más eleme ezeknek a soroknak a fordítása egy fájlformátumba.

Egy irodai példa konkréttá teszi a formát: alkalmazásszerverek a 10.60.0.0/16 címben, privát nevek a corp.example alatt, belső feloldó a 10.61.0.53 címen, a szokásos böngészés pedig azon az útvonalon marad, amelyet az eszköz már használ. Az utolsó pont szabályzatdöntés, nem kliens-alapértelmezés, és több kliens mindent az alagúton küld, ha senki nem mond mást. Rögzítse a szerződést dátummal és felelőssel, mert később ez a feljegyzés mondja meg, hogy az alagút vagy a szabályzat változott-e.

Válasszon egy protokollt és egy hitelesítési párt, amit meg tud védeni

Az IKEv2 tanúsítványalapú átjáró-hitelesítéssel és a felhasználó oldalán EAP-pal a szokásos választás, amikor mindhárom platformnak extra szoftver nélkül kell működnie, mivel a Windows, a macOS és a NetworkManager is szállít IKEv2 klienst. A baj az, hogy az IKEv2 támogatása címkét ír le, nem funkciókészletet. Az EAP-módszerek, a hardverrel támogatott kulcsok, a tanúsítvány és a fiók összerendelése, valamint az automatikus újracsatlakozás platformonként külön valósul meg. Egy kombináció, amely háromból kettőn működik, elég gyakori ahhoz, hogy ezt feltételezze a tesztelésig.

Tesztelje a párt minden célplatformon a telepítési útmutató megírása előtt, ne utána. Az átjáró, amely EAP-MSCHAPv2-t és EAP-TLS-t is kínál, helyet ad egy tartalék útvonalnak, feltéve hogy azt tartalékként dokumentálják, és nem egy incidens közben fedezik fel. Két támogatott útvonal olcsó biztosítás; egy dokumentálatlan harmadik útvonal jövőbeli jegy.

Amikor egyetlen pár sem fedi le mindhárom klienst, a tisztességes lehetőségek: klienst hozzáadni, átjáróprofilt hozzáadni, vagy szűkíteni a támogatott platformok listáját. A tanúsítvány-ellenőrzés kikapcsolása a leghangosabban panaszkodó platformon nem tartozik közéjük. Ez a változtatás kompatibilitási rést alakít át elfogási kockázattá, és a bevezetés későbbi lépései közül egyik sem javítja meg.

Platformonként egy terméket építsen a szerződésből

A Windows VPNv2 profilt használ, amelyet MDM szállít, vagy helyben hoznak létre a Add-VpnConnection és XML-hasznos terhelése segítségével. Két dolog harap: a hatókör és a bizalom. Az eszközhatóköri és a felhasználói hatókörű profil külön tárolóba települ, ezért a kliensnek szükséges tanúsítványnak abban a tárolóban kell lennie, amely a választott hatókörhöz tartozik. Ennek a párosításnak az elrontása olyan profilt ad, amely tisztán importálódik, majd az első kapcsolatnál elbukik.

A macOS konfigurációs profilt használ a kezelt VPN-hasznos terheléssel, aláírva és MDM-en keresztül terjesztve, vagy pilot esetén kézzel telepítve. Az identitás és a CA-lánc külön hasznos terhelésként utazik, ezért fordulhat elő, hogy egy profil panasz nélkül települ, majd a kapcsolódás pillanatában elbukik. Ellenőrizze a hasznos terhelések listáját, ne csak a telepítés eredményét.

A Linux a NetworkManager mögötti háttértől függ, a strongSwan és a NetworkManager beépülő modul pedig külön csomag. A kapcsolat tulajdonságai beépülőmodul-specifikusak, nem általános VPN-kulcsok, ezért egy másik beépülő modulból átmásolt kulcs gyakran hiba nélkül mentődik, majd aktiváláskor elbukik. Építse fel a kapcsolatot tiszta lemezképen, hogy megerősítse: a beépülő modul ott van, ahol valóban futni fog.

A három termék formátumban különbözik, de mindegyik ugyanazt az öt szerződéssort kódolja. Ez a teszt arra, hogy egy termék elkészült-e: minden sor valahol megjelenik, és közben semmi feleslegeset nem találtak ki.

Ellenőrizze az útvonalakat, a feloldót és az újracsatlakozást tiszta fiókon

A csatlakozva lét nem átvételi teszt. Windowson a Get-VpnConnection mutatja a profilt, a route print pedig azt, hogy a privát előtag az alagút interfészére került-e. macOS-en a scutil --nc list igazolja az aktív szolgáltatást, míg a scutil --dns azt a feloldósorrendet mutatja, amelyet a rendszer valóban használni fog.

Linuxon a nmcli connection show --active bizonyítja, hogy a kapcsolat él, a resolvectl status pedig kapcsolatonkénti DNS-t mutat. A kapcsolatfájlban szereplő, de a kapcsolatonkénti kimenetből hiányzó feloldó azt jelenti, hogy az osztott DNS nem érvényesül. Ez a különbség a feloldódó nevek és az alagúton át feloldódó nevek között, és megváltoztatja, melyik támogató csapat viszi a következő lépést. Hasonlítsa össze a kapcsolatonkénti kimenetet a kapcsolat feljötte előtt és után is, ne csak utána.

A teljes ellenőrzést új fiókkal futtassa, gyorsítótárazott hitelesítő adatok és rendszergazda által telepített tanúsítvány nélkül. Ezután ismételje meg felfüggesztés és folytatás után, majd még egyszer, miután kikényszerítette a hitelesítő adatok újrabekérését. Ez a két átmenet hozza felszínre az újracsatlakozási hibák többségét, amelyeket az első kapcsolat soha nem mutat meg.

Verziózza a csomagot, és tartson fenn visszaállítási útvonalat

Lásson el minden platformcsomagot azzal a szerződésrevízióval, amelyet megvalósít, és jegyezze fel a kliens- és átjáróverziókat, amelyekkel elfogadta. Amikor a viselkedés egy kliensfrissítés után megváltozik, a címke egy újratesztelendő szerződésre mutat, nem egy kitalálandó fájlra.

Tartsa elérhetőn minden platform előző csomagját, és írja mellé az eltávolítási parancsot. A VPN-profil eltávolítása nem a telepítés tükörképe Windowson, macOS-en vagy Linuxon, és a különbségek a legrosszabb pillanatban derülnek ki. Gyakorolja egyszer az eltávolítást egy tartalékeszközön, hogy az archívum terv legyen, ne remény.