Csak PCF-et tartalmazó VPN-profil: mit kérdezzünk a migráció előtt

Valaki átnyújt egy .pcf fájlt és egy laptopot, és azt várja, hogy a kapcsolat pontosan úgy működjön, mint évekkel ezelőtt. Általában nem fog, és a fájlformátum ritkán az ok. A PCF azokat a paramétereket rögzíti, amelyekre egy régi Cisco VPN Clientnek szüksége volt egy adott koncentrátor eléréséhez; semmit sem mond arról, hogy egy mai kliens még tud-e beszélni ezzel a szolgáltatással. A fájl egy korábbi kapcsolat bizonyítéka, nem szerződés a következőre.

A bizonyíték és a követelmények szétválasztása maga a feladat. Az átjáró tulajdonosa egy támogatott kliens-, protokoll-, hitelesítési módszer- és profilformátum-kombinációval tartozik Önnek, ami más kérdés, mint hogy valamelyik alkalmazás megnyitja-e a régi profilját.

Mit rögzít valójában a kezében lévő fájl

A PCF egy kis profil kapcsolati bejegyzésekből: egy gazdagép vagy egy elsődleges és tartalék pár, egy csoportnév, valamint utalások arra, hogyan mutassa be a kliens a hitelesítő adatokat. Nincs benne protokolltárgyalás, nincs bizalmi döntés, és nincs nyilatkozat az átjáró jelenlegi képességeiről. Elolvasása megmutatja, hová tárcsázott a régi kliens és milyen csoportnév alatt, és ez a rész valóban hasznos kontextus a fejvég tulajdonosának.

Amit nem tud megmondani, az az, hogy a gazdagépnév mögötti szolgáltatás még mindig ugyanazt a protokollt fogadja-e el, vagy hogy a fiók olyan formában maradt-e fenn, amely illik az utalásokhoz. Ezek a válaszok az átjárón és az identitástárban élnek, ezért ott kérdezzen, mielőtt építeni kezd.

Három követelmény, amely egynek látszik

Az első követelmény a vezetékes kompatibilitás: a kliensnek meg kell valósítania azt a távelérési protokollt, amelyet az átjáró lezár. A második a hitelesítés, ahol az átjáró által megkövetelt módszernek — tanúsítvány, csoportos hitelesítő adat MFA-val, vagy EAP — olyannak kell lennie, amelyet a kliens ténylegesen végre tud hajtani. A harmadik a szabályzat: osztott alagút, DNS, címtartományok és bármilyen állapotellenőrzés, mindezt az átjárón beállítva és a kliensnek olyan profilban átadva, amelyet el kell fogadnia.

A PCF gyenge bizonyítékot nyújt a második követelményről, a másik kettőről pedig gyakorlatilag semmit. Az importálási funkció tovább mosódik a határokon: egy kliens, amely a régi mezőket a saját formátumába képezi le, sikerrel importálhat, miközben nem tud csatlakozni, és az ellenkezője is lehetséges.

Öt kérdés, amely használható választ ad

Kérdéseket küldjön a fájl helyett. Melyik távelérési szolgáltatás és kliens kombinációja támogatott ma; milyen protokollt mutat az a szolgáltatás az internet felé; melyik hitelesítési módszer és regisztrációs útvonal érvényes; melyik profil, bizalmi horgony és csoport- vagy MFA-szabályzat tartozik hozzá; és mely részek térnek el a régi kapcsolattól. Minden válasz a fenti három követelmény egyikéhez rendelhető.

Ez a lista a fájlformátumokról szóló vitát a támogatásról szóló döntéssé alakítja, és általában egy dokumentációs hivatkozást és egy megnevezett felelőst ad vissza vállrándítás helyett. Azt is korán megmondja, hogy a migráció új profil egy meglévő szolgáltatással szemben, vagy olyan átjáróváltozás, amelyet még senki nem ütemezett. Írásban kérdezzen, mert a válaszok lesznek a következőleg épített dolog elfogadási kritériumai. Tartsa meg a régi csoportnevet is a jegyben, mert gyakran ez a leggyorsabb módja annak, hogy az üzemeltető megtalálja a megfelelő szabályzatot.

Az átnevezés semmit nem fordít le

A Cisco Secure Client saját protokollválasztással dokumentálja az XML-profilokat, így egy .pcf átnevezése .xml-re nem eredményez sem XML-t, sem beállításokat. Egy gazdagépnév beillesztése egy OpenVPN-fájlba nem teszi az IPsec-átjárót OpenVPN-beszélővé, és egy natív IKEv2-kliens nem válik kompatibilissé egy régebbi szolgáltatással csak attól, hogy mindkettőt IPsec-nek írják le.

Ezek a lépések mind címkét változtatnak, és érintetlenül hagyják a vezetékes viselkedést, ezért tűnik a kapott hiba függetlennek a szerkesztéstől. Ha az átjáró nem tudja nyújtani azt, amit az új kliens megvalósít, a tisztességes lehetőségek egy régi protokollt még beszélő kliens vagy egy tervezett átjárómigráció. A kettő közötti találgatás hetekbe kerül, és semmire nem tanít.

Kezelje a régi profilt érzékeny anyagként

Egy régi profil tartalmazhat belső gazdagépnevet, csoportnevet és néha tárolt hitelesítő adatokat, ami pontosan az a fajta dolog, amelyet a nyilvános konverterek és fórumtémák gyűjtenek. Kérjen meg egy rendszergazdát, hogy jóváhagyott csatornán olvassa el a mezőket, ahelyett hogy a fájlt bárhová feltöltené.

Ellenálljon a kísértésnek, hogy a migrációt béta kliensre, nem támogatott vendégrendszerre vagy gyengébb hitelesítésre alapozza, amelyet csak az elavult kliens életben tartására választottak. A régi árak és letöltési oldalak nem jobb bizonyítékok, mint maga a PCF, mert egy másik korszak jogosultságát írják le, nem a szerződést, amelyre most szüksége van.