Hvað á að stilla fyrirfram fyrir fyrstu VPN-tengingu notanda

Fyrsta VPN-tenging mistekst sjaldan í göngunni. Hún mistekst þegar venjulegur notandi á óstýrðu neti fylgir leiðbeiningum sem einhver skrifaði sem hafði þegar sett upp vottorðið. Sniðið, traustkeðjan og skilríkin eru stillingar, og allt þrennt er hægt að senda áður en notandinn kemur við sögu. Það sem eftir er fyrir þann notanda ættu að vera fjórar aðgerðir án ákvarðana inni í þeim. Sérhvert aukaskref sem þú skilur eftir í afhendingunni verður stuðningssímtal sem hefst á því að einhver les glugga upphátt.

Hvað tengingarsnið ber í raun

VPN-snið er hvorki flýtileið né bókamerki. Það er nefndur hlutur í tengingageymslu stýrikerfisins, sem heldur utan um vistfangsþjónsins, gerð göngunnar, auðkenningaraðferðina og oft leiðirnar, DNS-viðskeytin og kveikjureglurnar sem ákvarða hvenær það tengist. Í Windows varpa þessi svæði sér á hnúta VPNv2 stillingarþjónustuveitunnar, og þess vegna getur eitt snið borist í gegnum Intune, Configuration Manager, útvegunarpakka eða handvirkt innflutta XML-skrá.

Biðlarinn beitir þessum hlut í föstum röð: hann staðfestir vottorð vistþjónsins gagnvart traustum rótum, semur um gönguna og beitir aðeins þá leiðsögn og nafnaleysingu áður en forrit sér net. Þessi röð skýrir flestar tilkynningar um tengingu sem segist vera uppi á meðan ekkert hleðst: auðkenningin tókst og DNS eða leiðalistinn er það sem í raun brást. Lestu sniðið sem einn hlut með röð, ekki sem mengi óháðra rofa. Vantar traustrót mistekst í fyrsta skrefi, áður en nokkur skilríki eru boðin, og þess vegna gefur hún almenna villu í stað innskráningarbeiðni.

Traustefni er það svæði sem oftast er smyglað inn fyrir hönd. CA-vottorðið sem undirritar gáttina verður að vera til staðar fyrir fyrstu tilraun, og staðfesting vistþjónsnafns verður að vera áfram virk með samsvarandi nafni; að slökkva á staðfestingu til að próf standist breytir auðkenningarvandamáli í hljóðláta afhlustun sem enginn notandi getur greint.

Fjögur val sem notendur ættu aldrei að taka

Samskiptaregla og gerð göngu koma fyrst: veldu eina studda samsetningu fyrir hvern vettvang og skjalfestu gáttarhliðina, því þekkt vörumerki er ekki yfirlýsing um samhæfni. Næst kemur endapunkturinn: eitt hýsingarheiti sem leysist opinberlega og passar við vottorðið sem gáttin leggur fram. Auðkenning tilheyrir auðkenniskerfinu, hvort sem það er vottorð, notandanafn með öðrum þætti eða hvort tveggja. Ekkert þessara er ósk notandans, og ekkert ætti að birtast sem spurning í leiðbeiningunum.

Fjórða valið er umfang: full göng eða skipt göng, og hvaða forskeyti og DNS-viðskeyti ferðast inni í henni. Skipt göng án innri viðskeyta lekur nafnaleysingu til hvers þess leysanda sem staðarnetið býður, og full göng án áætlunar um staðbundnar auðlindir brýtur prentara og fönguð gáttar. Bæði eru ákvarðanir stjórnandans með sýnileg áhrif fyrir notandann, og einmitt þess vegna á notandinn að fá þær þegar frágengnar.

Haltu heiti tengingarinnar leiðinlegu og stöðugu. Notendur lesa það upphátt fyrir stuðning, leita að því í biðlaralista og muna það milli endurstillinga lykilorðs; að endurnefna það mitt í flutningi skapar stuðningshámark sem hefur ekkert með það að gera hvort VPN virkar.

Sendu auðkenni fyrir hverja persónu eða hvert tæki

Sniðið er opið og einkalykillinn ekki. Algeng útfellingarmista er að flytja út eitt virkt snið ásamt vottorði þess og láta skrána ganga manna á milli, sem gerir hverja fartölvu að klóni eins auðkennis og gerir afturköllun að ákvörðun allt-eða-ekkert. Skráðu skilríkin í staðinn í gegnum studda ferlið: vottorð fyrir hvert tæki úr stjórnunarleiðinni, eða skilríki fyrir hvern notanda frá auðkennisveitunni.

Tækjagöng og notandagöng auðkenna á mismunandi augnablikum, og sá munur ræður því hvaða skilríki þú þarft. Tækjagöng sem tengist fyrir innskráningu þarf vélarvottorð og snið sem kerfið hefur aðgang að. Notandagöng sem hefst eftir innskráningu getur notað eigin skilríki notandans og ætti ekki að krefjast stjórnandaréttinda. Að bæta við netaðgangi á vélarstigi eingöngu til að fjarlægja eitt smelli úr morgni einhvers er slæm skipti, því það víkkar hvað óeftirlitst tæki getur náð til.

Skráning er líka þar sem bataferlið er ákveðið. Endurnýjun vottorðs eða lykilorðsbreyting verður að ná til tækisins meðan göngin liggja niðri, þannig að útvegun, auðkennisveitan og gáttin verða að vera sammála um hvernig það gerist; ef eina leiðin til að laga snið er í gegnum göngin sem sniðið veitir, er lykillinn læstur inni í kassanum.

Lagaðu afhendingarleiðina að biðlaranum

Innbyggðir og þriðja aðila biðlarar afhendast á mismunandi hátt. Windows-snið er hægt að afhenda sem VPNv2 ProfileXML í gegnum Intune eða Configuration Manager, en ekki er hver hnútur aðgengilegur á hverju stjórnunaryfirborði, og leiðsögn, DNS og kveikjustillingar eru breytilegar eftir verkfæri og Windows-útgáfu. Staðfestu hvaða svæði er hægt að dreifa áður en þú lofar snertilausri útbreiðslu, því tilvísun um valkosti sniðs skjalfestir stillingar sem sumar afhendingarleiðir geta enn ekki sett.

Biðlarar framleiðenda bæta við öðru lagi, þar sem tvíundin, sniðið og stefna höfuðendans eru aðskildir hlutir. Cisco Secure Client styður til dæmis fyrirframdreifingu bæði pakkans og sniðs hans, og útbreiðslu biðlarans verður að samræma við stillingu gáttarinnar; að setja upp pakkann einan skilur notandann eftir í leiðarvísi.

Hvaða leið sem þú velur, haltu einni sannleiksheimild fyrir sniðið. Lagfært snið sem eldri pakki yfirskrifar við næstu athugun er endurtekið atvik, og varanleg lausn er útgáfustýrð stilling frekar en handvirk breyting á hverri vél.

Prófaðu afhendinguna sem nýr notandi og prófaðu svo bata

Gerðu prufu með venjulegum reikningi á tæki sem hefur aldrei tengst, án vistaðrar lotu stjórnandans eða fyrirfram skráðs vottorðs. Staðfestu að sniðið birtist á listanum, að innskráningarbeiðnin passi við leiðbeiningarnar og að nefnd innri auðlind opnist, og athugaðu svo nafnaleysingu og umfang leiðsagnar í stað þess að staldra við tengt táknið.

Fyrirspyrðu sniðgeymslu tækisins svo prófið framleiði sönnun en ekki tilfinningu.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Farðu svo í gegnum atburðina sem notendur mæta í raun: þvinguð endurstilling lykilorðs, endurnýjað vottorð, ýtt uppfærsla biðlarans og net sem enginn í prufunni hefur notað áður. Hver þeirra ætti annað hvort að virka eða mistakast eins og leiðbeiningarnar lýsa. Prófaðu líka net sem lokar VPN-portinu, því fyrsta tilraun á hótel-Wi-Fi er þar sem velgengni heima hættir að hjálpa. Skrifaðu útgáfu biðlarans og byggingu stýrikerfisins við hverja niðurstöðu, því næsta skýrsla kemur án þeirra.

Haltu afhendingunni til notandans í fjórum línum: heiti tengingarinnar, væntanleg innskráning, auðlindin sem sannar árangur og hvert senda á villutextann. Ekki á að biðja neinn um lykilorð eða útfluttan lykil til að sýna mistök. Arkitektúrinn, innviðir sniðsins og bataferlið tilheyra vinnubók stjórnandans, geymd við hlið þeirrar útgáfu biðlarans sem prófaði þau.