PCF専用VPNプロファイル：移行前に何を尋ねるべきか

誰かがあなたに .pcf ファイルとノートPCを渡し、何年も前と同じように接続が動くはずだと考えています。たいていは動きませんし、ファイル形式が原因であることは稀です。PCFは、古いCisco VPN Clientが特定のコンセントレータに到達するために必要としたパラメータを記録したものであり、現在のクライアントがそのサービスとまだ通信できるかについては何も語りません。このファイルは過去の接続の証拠であって、次の接続の契約書ではありません。

その証拠を要件から切り離すことが、この作業のすべてです。ゲートウェイの所有者があなたに負っているのは、クライアント、プロトコル、認証方式、プロファイル形式のサポートされた組み合わせであり、これは何かのアプリが古いプロファイルを開けるかという話とは別の問題です。

手元のファイルが実際に記録しているもの

PCFは接続エントリの小さなプロファイルで、ホスト、またはプライマリとバックアップの組、グループ名、そしてクライアントが資格情報をどう提示すべきかというヒントが入っています。プロトコル交渉も、信頼の判断も、ゲートウェイの現在の能力の記述も含まれていません。読めば、古いクライアントがどこへ、どのグループ名でダイヤルしていたかが分かり、その部分はヘッドエンドを所有する人にとって本当に有用な文脈です。

それが教えてくれないのは、そのホスト名の背後のサービスが今も同じプロトコルを受け付けるか、アカウントがヒントに合う形で残っているかです。その答えはゲートウェイとIDストアにありますから、構築する前にそこで尋ねてください。

ひとつに見える三つの要件

第一の要件はネットワーク上の互換性で、クライアントは、ゲートウェイが終端するリモートアクセスプロトコルを実装していなければなりません。第二は認証で、ゲートウェイが求める方式、すなわち証明書、グループ資格情報とMFA、あるいはEAPが、クライアントに実際に実行できるものでなければなりません。第三はポリシーで、スプリットトンネリング、DNS、アドレスプール、あらゆるポスチャチェックが該当し、いずれもゲートウェイで設定され、クライアントが受け入れなければならないプロファイルとして配信されます。

PCFは第二の要件について弱い証拠しか与えず、残り二つについては事実上何も与えません。インポート機能は境界をさらに曖昧にし、従来のフィールドを自前の形式に写すクライアントは、インポートには成功しても接続には失敗することがあり、逆もまた起こりえます。

使える答えを引き出す五つの質問

ファイルではなく質問を送ってください。今日サポートされているリモートアクセスサービスとクライアントの組み合わせ、そのサービスがインターネットに提示するプロトコル、適用される認証方式と登録経路、対応するプロファイルとトラストアンカーとグループまたはMFAポリシー、そして旧接続と異なる部分はどこか、を並べてください。それぞれの答えは、上の三つの要件のどれかに対応します。

この一覧は、ファイル形式についての議論をサポートについての判断に変え、たいていは肩をすくめる代わりにドキュメントへのリンクと名前の分かる担当者を返します。また、移行が既存サービスに対する新しいプロファイルなのか、まだ誰も予定していないゲートウェイ変更なのかを早い段階で示します。書面で尋ねてください、答えは次に作るものの受け入れ基準になるからです。古いグループ名もチケットに残してください、運用担当者が該当ポリシーを見つける最速の手がかりになることが多いからです。

名前を変えても何も翻訳されない

Cisco Secure Clientは独自のプロトコル選択を持つXMLプロファイルを文書化しているため、.pcf を .xml に改名してもXMLも設定も生まれません。OpenVPNファイルにホスト名を貼り付けてもIPsecゲートウェイがOpenVPNを話すようにはならず、ネイティブのIKEv2クライアントも、両方がIPsecと呼ばれるという理由だけで古いサービスと互換になるわけではありません。

これらの操作はいずれもラベルを変えるだけでネットワーク上の振る舞いは変わらないため、生じる障害は編集と無関係に見えます。ゲートウェイが新しいクライアントの実装する機能を提供できないとき、正直な選択肢は古いプロトコルを話し続けるクライアントか、計画的なゲートウェイ移行です。その間で推測すると数週間を失い、何も学べません。

古いプロファイルを機密資料として扱う

古いプロファイルには内部ホスト名、グループ名、ときには保存された資格情報が含まれることがあり、これは公開のコンバータやフォーラムのスレッドが集めるものとまさに同じ形です。ファイルをどこかへアップロードするのではなく、管理者に承認された経路でフィールドを読ませてください。

移行をベータ版クライアント、サポート外のゲストシステム、あるいは廃れたクライアントを生かすために選んだ弱い認証に依存させたい誘惑に抵抗してください。古い価格やダウンロードページはPCF自体より良い証拠にはなりません、なぜならそれらは別の時代の権利を述べているのであって、いま必要な契約を述べているわけではないからです。