Profil VPN khusus PCF: apa yang perlu ditanyakan sebelum migrasi

Seseorang menyerahkan berkas .pcf dan sebuah laptop kepada Anda lalu berharap koneksi bekerja persis seperti bertahun-tahun lalu. Biasanya tidak akan, dan format berkas jarang menjadi penyebabnya. PCF mencatat parameter yang dibutuhkan Cisco VPN Client lama untuk mencapai satu konsentrator tertentu; berkas itu tidak mengatakan apa pun tentang apakah klien masa kini masih dapat berbicara dengan layanan tersebut. Berkas itu adalah bukti tentang koneksi masa lalu, bukan kontrak untuk koneksi berikutnya.

Memisahkan bukti itu dari persyaratan adalah keseluruhan tugasnya. Yang wajib diberikan pemilik gateway kepada Anda adalah kombinasi klien, protokol, metode autentikasi, dan format profil yang didukung, dan itu pertanyaan yang berbeda dari apakah suatu aplikasi akan membuka profil lama Anda.

Apa yang sebenarnya dicatat berkas di tangan Anda

PCF adalah profil kecil berisi entri koneksi: sebuah host atau pasangan primer dan cadangan, sebuah nama grup, dan petunjuk tentang bagaimana klien seharusnya menyajikan kredensial. Di dalamnya tidak ada negosiasi protokol, tidak ada keputusan kepercayaan, dan tidak ada pernyataan tentang kemampuan gateway saat ini. Membacanya memberi tahu Anda ke mana klien lama menelepon dan dengan nama grup apa, dan bagian itu benar-benar konteks yang berguna bagi siapa pun yang memiliki ujung kepala.

Yang tidak dapat diberitahukannya adalah apakah layanan di balik nama host itu masih menerima protokol yang sama, atau apakah akun bertahan dalam bentuk yang cocok dengan petunjuk tersebut. Jawaban itu berada di gateway dan di penyimpanan identitas, jadi tanyakan di sana sebelum membangun.

Tiga persyaratan yang tampak seperti satu

Persyaratan pertama adalah kompatibilitas kabel: klien harus mengimplementasikan protokol akses jarak jauh yang diakhiri gateway. Kedua adalah autentikasi, di mana metode yang diminta gateway — sertifikat, kredensial grup plus MFA, atau EAP — haruslah metode yang benar-benar dapat dijalankan klien. Ketiga adalah kebijakan: split tunnelling, DNS, kumpulan alamat, dan pemeriksaan postur apa pun, semuanya dikonfigurasi di gateway dan dikirimkan ke klien dalam profil yang harus diterimanya.

PCF memberi bukti lemah tentang persyaratan kedua dan praktis tidak ada tentang dua lainnya. Fitur impor semakin mengaburkan batas: klien yang memetakan kolom lama ke formatnya sendiri bisa berhasil mengimpor tetapi gagal terhubung, dan sebaliknya juga mungkin.

Lima pertanyaan yang menghasilkan jawaban berguna

Kirim pertanyaan, bukan berkasnya. Kombinasi layanan akses jarak jauh dan klien mana yang didukung hari ini; protokol apa yang disajikan layanan itu ke internet; metode autentikasi dan jalur pendaftaran mana yang berlaku; profil, jangkar kepercayaan, dan kebijakan grup atau MFA mana yang menyertainya; dan bagian mana yang berbeda dari koneksi lama. Setiap jawaban memetakan ke salah satu dari tiga persyaratan di atas.

Daftar itu mengubah diskusi tentang format berkas menjadi keputusan tentang dukungan, dan biasanya mengembalikan tautan dokumentasi serta pemilik yang namanya jelas alih-alih angkat bahu. Daftar itu juga memberi tahu lebih awal apakah migrasi merupakan profil baru terhadap layanan yang sudah ada, atau perubahan gateway yang belum dijadwalkan siapa pun. Tanyakan secara tertulis, karena jawabannya menjadi kriteria penerimaan untuk apa pun yang Anda bangun berikutnya. Simpan juga nama grup lama di tiket, karena itu sering menjadi cara tercepat bagi operator untuk menemukan kebijakan yang cocok.

Mengganti nama tidak menerjemahkan apa pun

Cisco Secure Client mendokumentasikan profil XML dengan pilihan protokolnya sendiri, jadi mengganti nama .pcf menjadi .xml tidak menghasilkan XML maupun pengaturan. Menempelkan nama host ke berkas OpenVPN tidak membuat gateway IPsec berbicara OpenVPN, dan klien IKEv2 asli tidak menjadi kompatibel dengan layanan lama hanya karena keduanya disebut IPsec.

Setiap langkah itu mengubah label dan membiarkan perilaku di jaringan tidak tersentuh, itulah sebabnya kegagalan yang muncul tampak tidak berkaitan dengan penyuntingan. Ketika gateway tidak dapat menawarkan apa yang diimplementasikan klien baru, pilihan jujurnya adalah klien yang masih berbicara protokol lama atau migrasi gateway yang direncanakan. Menebak di antara keduanya memakan waktu berminggu-minggu dan tidak mengajarkan apa pun.

Perlakukan profil lama sebagai materi sensitif

Profil lama bisa berisi nama host internal, nama grup, dan kadang materi kredensial tersimpan, yang justru merupakan bentuk barang yang dikumpulkan konverter publik dan utas forum. Mintalah administrator membaca kolomnya melalui saluran yang disetujui alih-alih mengunggah berkas itu ke mana pun.

Lawan godaan untuk menggantungkan migrasi pada klien beta, sistem tamu yang tidak didukung, atau autentikasi yang lebih lemah yang dipilih agar klien usang tetap hidup. Harga dan halaman unduhan lama bukan bukti yang lebih baik daripada PCF itu sendiri, karena keduanya menggambarkan hak dari era lain, bukan kontrak yang Anda butuhkan sekarang.