Un solo servizio VPN può coprire desktop Windows, Mac e Linux?

Tre portatili nello stesso team, tre menu VPN diversi e un ticket che dice che la connessione funziona ovunque tranne che sul Mac. Il progetto dietro quei client può essere identico anche quando i menu non lo sono. Ciò che deve allinearsi è più ristretto di quanto presuppongano la maggior parte dei rollout: un'identità del gateway, un tipo di credenziale, un set di rotte e una politica del resolver. Scrivi questi quattro punti prima che qualcuno esporti un profilo, e il lavoro sulle piattaforme diventa una checklist invece di un'indagine.

Parti dal contratto di accesso, non dal file del client

Il contratto di accesso è composto da cinque righe che un revisore può verificare senza aprire la console di un fornitore. Indica i prefissi privati che devono essere raggiungibili, i nomi interni che devono risolversi, il resolver che risponde loro, il traffico autorizzato a restare sul percorso locale e il certificato del gateway che il client deve aspettarsi di vedere. Tutto il resto del rollout è una traduzione di quelle righe in un formato di file.

Un esempio d'ufficio rende concreta la forma: server applicativi in 10.60.0.0/16, nomi privati sotto corp.example, un resolver interno su 10.61.0.53 e la navigazione ordinaria lasciata sul percorso che il dispositivo già usa. Quest'ultimo punto è una decisione di politica, non un default del client, e diversi client manderanno tutto nel tunnel se nessuno dice il contrario. Registra il contratto con una data e un responsabile, perché è quel registro che più tardi ti dirà se è cambiato il tunnel o la politica.

Scegli un protocollo e una coppia di autenticazione che sai difendere

IKEv2 con autenticazione del gateway basata su certificati ed EAP per l'utente è la scelta abituale quando tutte e tre le piattaforme devono funzionare senza software aggiuntivo, dato che Windows, macOS e NetworkManager includono ciascuno un client IKEv2. Il problema è che supportare IKEv2 descrive un'etichetta, non un insieme di funzioni. Metodi EAP, chiavi supportate dall'hardware, mappatura certificato-account e riconnessione automatica sono implementati piattaforma per piattaforma. Una combinazione che funziona su due delle tre è abbastanza comune da dover essere data per scontata finché non viene provata.

Prova la coppia su ogni piattaforma di destinazione prima di scrivere la guida al deployment, non dopo. Un gateway che offre sia EAP-MSCHAPv2 sia EAP-TLS ti lascia margine per un fallback, purché il fallback sia documentato come supportato e non scoperto durante un incidente. Due percorsi supportati sono un'assicurazione a buon mercato; un terzo percorso non documentato è un ticket futuro.

Quando nessuna coppia copre tutti e tre i client, le opzioni oneste sono aggiungere un client, aggiungere un profilo sul gateway o restringere l'elenco delle piattaforme supportate. Disattivare la validazione dei certificati sulla piattaforma che protesta più forte non è una di queste. Quel cambiamento trasforma un divario di compatibilità in un rischio di intercettazione, e nessun passo successivo del rollout lo ripara.

Costruisci un artefatto per piattaforma a partire dal contratto

Windows usa un profilo VPNv2, consegnato via MDM o creato localmente con Add-VpnConnection e il suo payload XML. Le parti insidiose sono ambito e fiducia. Un profilo con ambito dispositivo e uno con ambito utente si installano in archivi diversi, quindi il certificato che serve al client deve trovarsi nell'archivio che corrisponde all'ambito scelto. Sbagliare questo abbinamento produce un profilo che si importa senza errori e poi fallisce alla prima connessione.

macOS usa un profilo di configurazione con il payload VPN gestito, firmato e distribuito via MDM oppure installato a mano per un pilota. L'identità e la catena CA viaggiano come payload separati, ed è per questo che un profilo può installarsi senza lamentele e poi fallire al momento della connessione. Controlla l'elenco dei payload, non solo l'esito dell'installazione.

Linux dipende dal backend dietro NetworkManager, e strongSwan più il plugin di NetworkManager sono pacchetti separati. Le proprietà di connessione sono specifiche del plugin e non chiavi VPN generiche, quindi una chiave copiata da un altro plugin spesso si salva senza errore e poi fallisce all'attivazione. Costruisci la connessione su un'immagine pulita per confermare che il plugin sia presente dove verrà davvero eseguito.

I tre artefatti differiscono nel formato, ma ciascuno codifica le stesse cinque righe del contratto. Questo è il test per capire se un artefatto è finito: ogni riga è rappresentata da qualche parte e nulla di extra è stato inventato lungo il percorso.

Verifica rotte, resolver e riconnessione su un account pulito

Connesso non è il test di accettazione. Su Windows, Get-VpnConnection mostra il profilo e route print mostra se il prefisso privato è finito sull'interfaccia del tunnel. Su macOS, scutil --nc list conferma il servizio attivo mentre scutil --dns mostra l'ordine dei resolver che il sistema userà davvero.

Su Linux, nmcli connection show --active dimostra che la connessione è attiva e resolvectl status mostra il DNS per collegamento. Un resolver presente nel file di connessione ma assente dall'output per collegamento significa che il DNS split non è applicato. È la differenza tra nomi che si risolvono e nomi che si risolvono attraverso il tunnel, e cambia quale team di supporto possiede il passo successivo. Confronta l'output per collegamento prima e dopo che la connessione sale, non solo dopo.

Esegui l'intera verifica con un account nuovo, senza credenziali in cache e senza certificati installati dall'amministratore. Poi ripetila dopo una sospensione e ripresa, e ancora una volta dopo aver forzato un nuovo inserimento delle credenziali. Quelle due transizioni fanno emergere la maggior parte dei guasti di riconnessione che una prima connessione non mostra mai.

Versiona il pacchetto e mantieni un percorso di rollback

Etichetta ogni pacchetto di piattaforma con la revisione del contratto che implementa e annota le versioni di client e gateway con cui l'hai accettato. Quando il comportamento cambia dopo un aggiornamento del client, l'etichetta punta a un contratto da ritestare invece che a un file da indovinare.

Mantieni recuperabile il pacchetto precedente per ogni piattaforma e scrivi accanto il comando di rimozione. Disinstallare un profilo VPN non è l'immagine speculare della sua installazione su Windows, macOS o Linux, e le differenze emergono nel momento peggiore. Prova la rimozione una volta su un dispositivo di riserva, così l'archivio diventa un piano e non una speranza.