Getur ein VPN-þjónusta náð yfir Windows-, Mac- og Linux-skjáborð?

Þrír fartölvur í sama teymi, þrjú mismunandi VPN-valmynd og miði sem segir að sambandið virki alls staðar nema á Mac. Planið á bak við þá biðla getur verið eins þótt valmyndirnar séu það ekki. Það sem verður að stemma er þrengra en flestar innleiðingar gera ráð fyrir: ein gáttarauðkenni, ein tegund skilríkja, eitt sett leiða og ein stefna uppflettis. Skrifið þessi fjögur niður áður en einhver flytur út snið, og verk á kerfum verða gátlisti í stað rannsóknar.

Byrjið á aðgangssamningnum, ekki biðlara skránni

Aðgangssamningurinn er fimm línur sem yfirferðarmaður getur staðfest án þess að opna stjórnborð seljanda. Hann nefnir einkaforskeytin sem verða að vera aðgengileg, innri nöfnin sem verða að leysast, uppflettinn sem svarar þeim, umferðina sem má vera á staðbundinni leið og gáttarvottorðið sem biðlarinn á að búast við. Allt annað í innleiðingunni er þýðing þessara lína yfir í skráarsnið.

Skrifstofudæmi gerir formið áþreifanlegt: forritamiðlarar í 10.60.0.0/16, einkanöfn undir corp.example, innri uppflettir á 10.61.0.53 og venjuleg vafur er látin vera á þeirri leið sem tækið notar nú þegar. Síðasta atriðið er stefnuákvörðun, ekki sjálfgefið gildi biðlarans, og nokkrir biðlarar senda allt um göngin ef enginn segir annað. Skráið samninginn með dagsetningu og ábyrgðarmanni, því einmitt sú skráning segir ykkur síðar hvort göngin eða stefnan breyttist.

Veljið eitt samskiptareglu og eitt auðkenningapar sem þið getið varið

IKEv2 með vottorðsbyggðri gáttarauðkenningu og EAP fyrir notandann er venjulegi kosturinn þegar allir þrír vettvangarnir verða að virka án viðbótarhugbúnaðar, þar sem Windows, macOS og NetworkManager koma hvert með IKEv2-biðlara. Vandamálið er að stuðningur við IKEv2 lýsir merki, ekki eiginleikasafni. EAP-aðferðir, vélbúnaðarstudd lyklar, vörpun vottorðs í reikning og sjálfvirk endutenging eru innleidd fyrir hvern vettvang. Sambland sem virkar á tveimur af þremur er nógu algengt til að gera ráð fyrir því þar til það er prófað.

Prófið parið á hverjum markvettvangi áður en dreifingarleiðbeiningarnar eru skrifaðar, ekki eftir. Gátt sem býður bæði EAP-MSCHAPv2 og EAP-TLS gefur rými fyrir varaleið, að því tilskildu að hún sé skjalfest sem studd en ekki uppgötvuð í atviki. Tvær studdar leiðir eru ódýr trygging; óskjalfest þriðja leið er framtíðarmiði.

Þegar ekkert par nær yfir alla þrjá biðlarana eru heiðarlegu valkostirnir að bæta við biðlara, bæta við sniði á gátt eða þrengja listann yfir studda vettvanga. Að slökkva á vottorðssannprófun á þeim vettvangi sem kvartar hæst er ekki einn þeirra. Sú breyting gerir samhæfisbil að hlerunarrásku og ekkert síðara skref í innleiðingunni lagar það.

Byggið eitt afurð fyrir hvern vettvang út frá samningnum

Windows notar VPNv2-snið, afhent með MDM eða búið til staðbundið með Add-VpnConnection og XML-farminum. Það sem bítur eru umfang og traust. Snið með tækjumfangi og snið með notandaumfangi setjast í mismunandi geymslur, svo vottorðið sem biðlarinn þarf verður að vera í geymslunni sem passar við valið umfang. Rangt par hér gefur snið sem flyst inn hnökralaust og bregst svo við fyrstu tengingu.

macOS notar stillingarsnið með stýrðum VPN-farmi, undirritað og dreift með MDM eða sett upp handvirkt fyrir prufu. Auðkennið og CA-keðjan ferðast sem aðskildir farmar, og þess vegna getur snið setst upp án kvartana og samt brugðist við tengingu. Athugið farmlistann, ekki bara uppsetningarútkomuna.

Linux ræðst af bakenda á bak við NetworkManager, og strongSwan ásamt NetworkManager-viðbótinni eru aðskildar pakkar. Eiginleikar tengingar eru viðbótarsérstakir en ekki almennir VPN-lyklar, svo lykill sem afritaður er úr annarri viðbót vistast oft án villu og bregst svo við virkjun. Byggið tenginguna á hreinu mynd til að staðfesta að viðbótin sé þar sem hún mun raunverulega keyra.

Afurðirnar þrjár eru ólíkar að sniði, en hver um sig kóðar sömu fimm samningslínurnar. Það er prófið á það hvort afurð er fullbúin: hver lína er einhvers staðar fyrir hendi og ekkert auka var fundið upp á leiðinni.

Staðfestið leiðir, uppfletti og endutengingu á hreinum reikningi

Tengt er ekki viðtökuprófið. Á Windows sýnir Get-VpnConnection sniðið og route print sýnir hvort einkaforskeytið lenti á gönguviðmótinu. Á macOS staðfestir scutil --nc list virka þjónustuna á meðan scutil --dns sýnir þá uppflettisröð sem kerfið mun raunverulega nota.

Á Linux sannar nmcli connection show --active að tengingin sé uppi og resolvectl status sýnir DNS á hverja tengingu. Uppflettir sem er í tengiskránni en vantar í úttak á hverja tengingu þýðir að skipt DNS er ekki beitt. Það er munurinn á nöfnum sem leysast og nöfnum sem leysast um göngin, og hann breytir því hvaða stuðningsteymi á næsta skref. Berið saman úttak á hverja tengingu fyrir og eftir að tengingin kemur upp, ekki bara eftir.

Keyrið alla athugunina á nýjum reikningi, án skyndiminnuhulinna skilríkja og án vottorðs sem stjórnandi setti upp. Endurtakið hana svo eftir svefnhvíld og uppvakn, og einu sinni enn eftir að hafa þvingað nýja innslátt skilríkja. Þessar tvær umskiptingar koma í ljós flestum endutengingarbrestum sem fyrsta tenging sýnir aldrei.

Setjið útgáfu á pakkann og haldið eftir afturköllunarleið

Merkið hvern vettvangspakka með þeirri samningsendurskoðun sem hann innleiðir og skráið biðlara- og gáttarútgáfur sem þið samþykktuð hann gegn. Þegar hegðun breytist eftir biðlarauppfærslu bendir merkið á samning sem á að prófa aftur í stað skráar sem á að giska á.

Haldið fyrri pakka hvers vettvangs aðgengilegum og skrifið fjarlægingarskipunina við hliðina á honum. Að fjarlægja VPN-snið er ekki spegilmynd uppsetningarinnar á Windows, macOS eða Linux, og munurinn kemur fram á versta mögulega tíma. Æfið fjarlæginguna einu sinni á varabúnaði svo safnið verði áætlun en ekki von.