Quali protocolli VPN il vostro sistema operativo già parla?

Prima di scaricare un altro client, guardate cosa il sistema operativo implementa già, perché spesso la risposta basta per saltare del tutto l’installer. Windows, macOS e ChromeOS includono ciascuno un elenco fisso e breve di protocolli di tunnel, e un gateway che ne parla uno non ha bisogno di driver, servizio o percorso di aggiornamento aggiuntivi. A deciderlo non è il nome del fornitore sull’opuscolo. A deciderlo sono il protocollo, il modo in cui l’endpoint si autentica e l’indirizzo che si aspetta.

Chiedete il protocollo, non il nome del prodotto

Il nome del prodotto dice molto poco su ciò che attraversa il filo. Due gateway venduti con la stessa etichetta possono richiedere tunnel completamente diversi, e uno può accettare un client integrato mentre l’altro rifiuta tutto tranne il proprio portale. Due amministratori che descrivono la stessa macchina possono essere in disaccordo ed entrambi aver ragione, perché descrivono livelli diversi. Il tunnel sotto è ciò che decide se serve un installer.

Ponete tre domande a chi gestisce il gateway: quale protocollo di tunnel, quale metodo di autenticazione e quale indirizzo e suffisso DNS il client deve accettare. Chiedete il protocollo per nome, e quando la risposta arriva come nome di prodotto, spiegate perché è il protocollo che vi serve. Quelle tre risposte risolvono la questione del client prima che venga scaricato qualsiasi software.

C’è un motivo se il nome del prodotto sopravvive in così tanti ticket. L’URL del portale è ciò che gli utenti vedono, e il tunnel è invisibile finché funziona. Scrivere il protocollo nella nota di passaggio costa una riga e toglie l’ambiguità per tutti quelli che verranno dopo.

Dove si ferma l’elenco integrato

Gli elenchi nativi sono brevi, e i loro bordi contano più del contenuto. Una piattaforma che parla L2TP su IPsec con una chiave precondivisa non parlerà SSTP, e quella differenza decide il client. La tabella è ordinata per tunnel e non per fornitore, così potete cercare il protocollo che il gateway ha nominato.

Leggete la tabella contro i requisiti del gateway, non contro un opuscolo. Se la risposta è L2TP su IPsec con una chiave precondivisa, le prime tre piattaforme si collegano senza nulla di extra installato. Se la risposta è OpenVPN, prima di installare qualsiasi cosa è coperto solo ChromeOS. Un protocollo che non appare in nessuna colonna integrata è il segnale onesto che un installer sta arrivando.

Linux è la colonna che resiste alla generalizzazione. Il suo supporto ai protocolli vive in demoni e plugin che la distribuzione sceglie di impacchettare, quindi un’immagine minima potrebbe non parlarne nessuno finché non li aggiungete, e due distribuzioni con lo stesso desktop possono differire.

Costruite il profilo dalla riga di comando

Tutto ciò che il pannello grafico scrive è memorizzato in un posto a cui potete arrivare, ed è questo che rende automatizzabile un profilo integrato. Windows conserva le voci VPN in .pbk file sotto il profilo utente e sotto ProgramData, e rasphone può elencare e modificare voci che l’elenco di rete non mostra. Questo conta quando una macchina viene preparata da uno script e nessuno cliccherà attraverso una procedura guidata. Spiega anche come un profilo possa esistere senza mai comparire nella barra delle applicazioni.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Modificare a mano un .pbk file funziona, ed è anche il modo più rapido per corromperlo, quindi lasciate che lo strumento possieda il formato. macOS conserva i suoi servizi nella configurazione di sistema, e networksetup li indirizza per nome del servizio; diverse opzioni vogliono un indirizzo invece di un nome host, quindi risolvete prima l’endpoint e memorizzate il valore che il client userà davvero. Quella distinzione morde durante l’automazione, perché uno script che funziona con un indirizzo può fallire con un nome, e l’errore sembra un gateway rotto invece di un argomento rifiutato.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

I nomi dei servizi sono localizzati e modificabili dall’utente, quindi uno script che codifica Wi-Fi in modo fisso si rompe sulla prima macchina impostata su un’altra lingua. Leggete il nome dal comando di elenco e passatelo invece di indovinare.

Certificati senza un client proprietario

Alcune distribuzioni richiedono un certificato client e nient’altro di proprietario, ed è il caso intermedio che vale la pena testare prima di accettare un driver. Collocare un certificato nell’archivio della piattaforma è supportato; non è lo stesso gesto che lasciare una radice del fornitore e fidarsi che il client la trovi. Il primo è un posizionamento deliberato; il secondo è una supposizione con un ticket di supporto allegato.

Il dettaglio che coglie le persone è quale archivio legge il client. Un certificato nell’archivio utente è invisibile a un client configurato per l’archivio macchina, e il messaggio che ricevete dice che il certificato manca, non che si trova nel posto sbagliato. Controllate entrambi gli archivi prima di concludere che il certificato sia sbagliato. Annotate quale usa la configurazione che funziona, perché quella nota sopravvive al certificato quando la macchina viene ricostruita.

Windows separa esplicitamente i due archivi, e macOS separa il portachiavi di login dal portachiavi di sistema. I nomi differiscono, ma la modalità di guasto è identica: un certificato valido che il client non guarda mai.

Cosa impone un installer

Alcuni gateway legano il client a un archivio di certificati privato, a un agente di postura o a uno scambio di accesso che il sistema operativo non può eseguire. Le distribuzioni costruite su hardware Check Point, Cisco o Fortinet finiscono spesso lì, e in quei casi il client integrato non è una scorciatoia. Un sostituto di terze parti può connettersi e comunque violare la politica, il che rende questa una decisione di sicurezza e non di comodità. Installate ciò che la politica richiede e annotate il motivo accanto alla versione dell’installer.

Quel registro è la parte che le persone saltano e la parte che fa risparmiare una settimana al prossimo amministratore: protocollo, metodo di autenticazione, famiglia di indirizzi e suffisso richiesto, con una riga di giustificazione per ogni binario che è stato aggiunto. Mettetelo dove vivono le note dell’installer, non in un thread di chat. Due righe di documentazione evitano un’indagine ripetuta.