Profilo VPN solo PCF: cosa chiedere prima di migrare

Qualcuno vi consegna un file .pcf e un portatile e si aspetta che la connessione funzioni esattamente come anni fa. Di solito non funzionerà, e il formato del file è raramente la causa. Un PCF registra i parametri che un vecchio Cisco VPN Client richiedeva per raggiungere un concentratore preciso; non dice nulla sulla possibilità che un client attuale parli ancora con quel servizio. Il file è una prova di una connessione passata, non un contratto per quella successiva.

Separare quella prova dai requisiti è tutto il lavoro. Ciò che il proprietario del gateway vi deve è una combinazione supportata di client, protocollo, metodo di autenticazione e formato del profilo, che è una domanda diversa da quella se un'applicazione aprirà il vostro vecchio profilo.

Cosa registra davvero il file che avete in mano

Un PCF è un piccolo profilo di voci di connessione: un host o una coppia primaria e di riserva, un nome di gruppo e indicazioni su come il client debba presentare le credenziali. Non contiene negoziazione del protocollo, né decisione di fiducia, né dichiarazione delle capacità attuali del gateway. Leggerlo vi dice dove chiamava il vecchio client e con quale nome di gruppo, e quella parte è un contesto davvero utile per chi gestisce l'estremità principale.

Ciò che non può dirvi è se il servizio dietro quel nome host accetti ancora lo stesso protocollo, o se l'account sopravviva in una forma che corrisponda alle indicazioni. Quelle risposte vivono sul gateway e nell'archivio delle identità, quindi chiedete lì prima di costruire.

Tre requisiti che sembrano uno

Il primo requisito è la compatibilità sul filo: il client deve implementare il protocollo di accesso remoto che il gateway termina. Il secondo è l'autenticazione, dove il metodo richiesto dal gateway — certificato, credenziale di gruppo più MFA, o EAP — deve essere uno che il client possa davvero eseguire. Il terzo è la politica: tunnel diviso, DNS, pool di indirizzi e qualsiasi controllo di postura, tutto configurato sul gateway e consegnato al client in un profilo che deve accettare.

Un PCF offre una prova debole sul secondo requisito e praticamente nessuna sugli altri due. Una funzione di importazione confonde ulteriormente il confine: un client che mappa campi legacy nel proprio formato può riuscire nell'importazione ma non nella connessione, e anche il contrario è possibile.

Cinque domande che producono una risposta utilizzabile

Inviate domande invece del file. Quale combinazione di servizio di accesso remoto e client è supportata oggi; quale protocollo quel servizio presenta a internet; quale metodo di autenticazione e percorso di registrazione si applicano; quale profilo, ancore di fiducia e politica di gruppo o MFA vi appartengono; e quali parti differiscono dalla vecchia connessione. Ogni risposta corrisponde a uno dei tre requisiti sopra.

Quell'elenco trasforma una discussione sui formati di file in una decisione sul supporto, e di solito restituisce un link alla documentazione e un responsabile con nome invece di un'alzata di spalle. Vi dice anche presto se la migrazione è un nuovo profilo contro un servizio esistente, o un cambiamento del gateway che nessuno ha ancora pianificato. Chiedete per iscritto, perché le risposte diventano i criteri di accettazione di ciò che costruirete dopo. Tenete anche il vecchio nome di gruppo nel ticket, perché spesso è il modo più rapido per l'operatore di individuare la politica corrispondente.

Rinominare non traduce nulla

Cisco Secure Client documenta i profili XML con le proprie scelte di protocollo, quindi rinominare un .pcf in .xml non produce né XML né impostazioni. Incollare un nome host in un file OpenVPN non fa parlare OpenVPN a un gateway IPsec, e un client IKEv2 nativo non diventa compatibile con un servizio più vecchio solo perché entrambi sono descritti come IPsec.

Ognuno di questi passaggi cambia un'etichetta e lascia intatto il comportamento sul filo, ed è per questo che il guasto risultante sembra estraneo alla modifica. Quando il gateway non può offrire ciò che il nuovo client implementa, le opzioni oneste sono un client che parla ancora il vecchio protocollo o una migrazione del gateway pianificata. Indovinare tra le due costa settimane e non insegna nulla.

Trattate il vecchio profilo come materiale sensibile

Un vecchio profilo può contenere un nome host interno, un nome di gruppo e talvolta materiale di credenziali memorizzato, che è esattamente la forma di cosa che i convertitori pubblici e i thread dei forum raccolgono. Fate leggere i campi a un amministratore tramite un canale approvato invece di caricare il file ovunque.

Resistete alla tentazione di far dipendere la migrazione da un client beta, da un sistema ospite non supportato o da un'autenticazione più debole scelta per tenere in vita un client obsoleto. I vecchi prezzi e le vecchie pagine di download non sono prove migliori del PCF stesso, perché descrivono un diritto di un'altra epoca e non il contratto che ora vi serve.