Protokol VPN apa yang sudah dipahami sistem operasi Anda?

Sebelum mengunduh klien lain, periksa apa yang sudah diterapkan sistem operasi, karena jawabannya sering cukup untuk melewati pemasang sepenuhnya. Windows, macOS, dan ChromeOS masing-masing membawa daftar protokol terowongan yang tetap dan pendek, dan gateway yang berbicara salah satunya tidak memerlukan driver, layanan, atau jalur pembaruan tambahan. Yang menentukan bukan nama vendor di brosur. Yang menentukan adalah protokol, cara titik akhir mengautentikasi, dan alamat yang diharapkannya.

Mintalah protokolnya, bukan nama produknya

Nama produk hanya sedikit berbicara tentang apa yang melintasi kabel. Dua gateway yang dijual dengan label sama bisa menuntut terowongan yang sangat berbeda, dan yang satu mungkin menerima klien bawaan sementara yang lain menolak apa pun kecuali portalnya sendiri. Dua administrator yang menjelaskan kotak yang sama bisa berbeda pendapat dan keduanya benar, karena mereka menjelaskan lapisan yang berbeda. Terowongan di bawahnya adalah yang menentukan apakah pemasang diperlukan.

Ajukan tiga pertanyaan kepada siapa pun yang menjalankan gateway: protokol terowongan apa, metode autentikasi apa, dan alamat serta akhiran DNS apa yang harus diterima klien. Mintalah protokolnya dengan nama, dan ketika jawabannya kembali sebagai nama produk, jelaskan mengapa protokol itulah yang Anda butuhkan. Ketiga jawaban itu menyelesaikan pertanyaan klien sebelum perangkat lunak apa pun diunduh.

Ada alasan nama produk bertahan di begitu banyak tiket. URL portal adalah yang dilihat pengguna, dan terowongan tidak terlihat selama berfungsi. Menuliskan protokol di catatan serah terima hanya perlu satu baris dan menghilangkan ambiguitas bagi semua yang datang kemudian.

Di mana daftar bawaan berhenti

Daftar asli pendek, dan tepinya lebih penting daripada isinya. Platform yang berbicara L2TP di atas IPsec dengan kunci yang dibagikan sebelumnya tidak akan berbicara SSTP, dan perbedaan itulah yang menentukan klien. Tabelnya disusun menurut terowongan, bukan vendor, jadi Anda dapat mencari protokol yang disebut gateway.

Bacalah tabel terhadap persyaratan gateway, bukan terhadap brosur. Jika jawabannya L2TP di atas IPsec dengan kunci yang dibagikan sebelumnya, tiga platform pertama terhubung tanpa apa pun tambahan terpasang. Jika jawabannya OpenVPN, hanya ChromeOS yang tercakup sebelum Anda memasang apa pun. Protokol yang tidak muncul di kolom bawaan mana pun adalah sinyal jujur bahwa pemasang akan datang.

Linux adalah kolom yang menolak generalisasi. Dukungan protokolnya hidup dalam daemon dan plugin yang dipilih distribusi untuk dipaketkan, jadi image minimal mungkin tidak berbicara satu pun sampai Anda menambahkannya, dan dua distribusi dengan desktop yang sama bisa berbeda.

Bangun profil dari baris perintah

Semua yang ditulis panel grafis disimpan di suatu tempat yang dapat Anda jangkau, dan itulah yang membuat profil bawaan dapat diotomatiskan. Windows menyimpan entri VPN di .pbk berkas di bawah profil pengguna dan di bawah ProgramData, dan rasphone dapat mendaftar dan menyunting entri yang tidak ditampilkan daftar jaringan. Itu penting ketika mesin disediakan oleh skrip dan tidak ada yang akan mengklik lewat panduan. Itu juga menjelaskan bagaimana profil bisa ada tanpa pernah muncul di baki sistem.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Menyunting .pbk berkas secara manual berhasil, dan itu juga cara tercepat untuk merusaknya, jadi biarkan alat itu memiliki formatnya. macOS menyimpan layanannya di konfigurasi sistem, dan networksetup menyapa mereka dengan nama layanan; beberapa opsi menginginkan alamat alih-alih nama host, jadi selesaikan dulu titik akhir dan simpan nilai yang benar-benar akan dipakai klien. Perbedaan itu menggigit saat otomatisasi, karena skrip yang bekerja dengan alamat bisa gagal dengan nama, dan galatnya tampak seperti gateway rusak alih-alih argumen yang ditolak.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Nama layanan dilokalkan dan dapat disunting pengguna, jadi skrip yang mengodekan Wi-Fi secara keras rusak pada mesin pertama yang disetel ke bahasa lain. Bacalah nama dari perintah daftar dan teruskan, alih-alih menebak.

Sertifikat tanpa klien milik sendiri

Beberapa penerapan memerlukan sertifikat klien dan tidak ada yang lain milik sendiri, dan itulah kasus tengah yang layak diuji sebelum Anda menerima driver. Menempatkan sertifikat di penyimpanan platform didukung; itu bukan tindakan yang sama dengan menjatuhkan akar vendor dan berharap klien menemukannya. Yang pertama adalah penempatan yang disengaja; yang kedua adalah dugaan dengan tiket dukungan terlampir.

Detail yang menangkap orang adalah penyimpanan mana yang dibaca klien. Sertifikat di penyimpanan pengguna tidak terlihat oleh klien yang dikonfigurasi untuk penyimpanan mesin, dan pesan yang Anda terima mengatakan sertifikatnya hilang, bukan bahwa ia berada di tempat yang salah. Periksa kedua penyimpanan sebelum menyimpulkan sertifikatnya salah. Catat mana yang dipakai konfigurasi yang berfungsi, karena catatan itu bertahan lebih lama daripada sertifikat ketika mesin dibangun ulang.

Windows memisahkan kedua penyimpanan secara eksplisit, dan macOS memisahkan gantungan kunci login dari gantungan kunci sistem. Namanya berbeda, tetapi mode kegagalannya sama: sertifikat yang valid yang tidak pernah dilihat klien.

Apa yang memaksa pemasang

Beberapa gateway mengikat klien ke penyimpanan sertifikat privat, agen postur, atau pertukaran masuk yang tidak dapat dilakukan sistem operasi. Penerapan di atas perangkat keras Check Point, Cisco, atau Fortinet sering berakhir di sana, dan di dalamnya klien bawaan bukan jalan pintas. Pengganti pihak ketiga mungkin terhubung dan tetap melanggar kebijakan, yang menjadikan ini keputusan keamanan alih-alih keputusan kenyamanan. Pasang apa yang dituntut kebijakan dan catat alasannya di samping versi pemasang.

Catatan itu adalah bagian yang dilewati orang dan bagian yang menghemat seminggu bagi administrator berikutnya: protokol, metode autentikasi, keluarga alamat, dan akhiran yang diperlukan, dengan satu baris pembenaran untuk setiap biner yang harus ditambahkan. Letakkan di tempat catatan pemasang berada, bukan di utas obrolan. Dua baris dokumentasi mencegah penyelidikan berulang.