PCF 전용 VPN 프로필: 마이그레이션 전에 무엇을 물어야 하나

누군가 .pcf 파일과 노트북을 건네며 몇 년 전과 똑같이 연결이 될 것이라고 기대합니다. 보통은 그렇지 않고, 파일 형식이 원인인 경우는 드뭅니다. PCF는 오래된 Cisco VPN Client가 특정 집중 장치에 접속하는 데 필요했던 매개변수를 기록한 것으로, 현재 클라이언트가 그 서비스와 여전히 통신할 수 있는지는 말해 주지 않습니다. 이 파일은 과거 연결에 대한 증거이지 다음 연결에 대한 계약이 아닙니다.

그 증거를 요구 사항과 분리하는 것이 이 작업의 전부입니다. 게이트웨이 소유자가 여러분에게 빚진 것은 클라이언트, 프로토콜, 인증 방식, 프로필 형식의 지원되는 조합이며, 이는 어떤 애플리케이션이 옛 프로필을 열어 주는지와는 다른 문제입니다.

손에 있는 파일이 실제로 기록하는 것

PCF는 연결 항목으로 이루어진 작은 프로필로, 호스트 또는 기본과 백업 쌍, 그룹 이름, 그리고 클라이언트가 자격 증명을 어떻게 제시해야 하는지에 대한 힌트를 담고 있습니다. 프로토콜 협상도, 신뢰 결정도, 게이트웨이의 현재 능력에 대한 진술도 없습니다. 이것을 읽으면 오래된 클라이언트가 어디로, 어떤 그룹 이름으로 접속했는지 알 수 있고, 그 부분은 헤드엔드를 소유한 사람에게 실로 유용한 맥락입니다.

그것이 말해 줄 수 없는 것은 그 호스트 이름 뒤의 서비스가 여전히 같은 프로토콜을 받아들이는지, 또는 계정이 힌트에 맞는 형태로 남아 있는지입니다. 그 답은 게이트웨이와 ID 저장소에 있으니, 만들기 전에 그곳에서 물어보십시오.

하나처럼 보이는 세 가지 요구 사항

첫 번째 요구 사항은 네트워크상의 호환성입니다. 클라이언트는 게이트웨이가 종료하는 원격 접속 프로토콜을 구현해야 합니다. 두 번째는 인증으로, 게이트웨이가 요구하는 방식, 즉 인증서, 그룹 자격 증명과 MFA, 또는 EAP가 클라이언트가 실제로 수행할 수 있는 것이어야 합니다. 세 번째는 정책으로, 분할 터널링, DNS, 주소 풀, 각종 상태 점검이 해당하며 모두 게이트웨이에서 구성되어 클라이언트가 받아들여야 하는 프로필로 전달됩니다.

PCF는 두 번째 요구 사항에 대해 약한 증거만 주고 나머지 둘에 대해서는 사실상 아무것도 주지 않습니다. 가져오기 기능은 경계를 더 흐립니다. 기존 필드를 자체 형식으로 매핑하는 클라이언트는 가져오기에 성공하고도 연결에는 실패할 수 있으며, 그 반대도 가능합니다.

쓸 만한 답을 끌어내는 다섯 가지 질문

파일이 아니라 질문을 보내십시오. 오늘 지원되는 원격 접속 서비스와 클라이언트 조합은 무엇인지, 그 서비스가 인터넷에 제시하는 프로토콜은 무엇인지, 어떤 인증 방식과 등록 경로가 적용되는지, 어떤 프로필과 신뢰 앵커, 그룹 또는 MFA 정책이 해당하는지, 그리고 옛 연결과 다른 부분은 어디인지. 각 답은 위의 세 요구 사항 중 하나에 대응합니다.

그 목록은 파일 형식에 대한 논의를 지원에 대한 결정으로 바꾸고, 보통은 어깨를 으쓱하는 대신 문서 링크와 이름이 있는 담당자를 돌려줍니다. 또한 마이그레이션이 기존 서비스에 대한 새 프로필인지, 아직 아무도 일정을 잡지 않은 게이트웨이 변경인지도 일찍 알려 줍니다. 서면으로 물으십시오. 답이 다음에 만들 것의 수용 기준이 되기 때문입니다. 옛 그룹 이름도 티켓에 남겨 두십시오. 운영자가 해당 정책을 찾는 가장 빠른 단서인 경우가 많습니다.

이름을 바꾼다고 번역되는 것은 없습니다

Cisco Secure Client는 자체 프로토콜 선택을 가진 XML 프로필을 문서화하므로, .pcf 을 .xml 로 이름만 바꾸면 XML도 설정도 생기지 않습니다. OpenVPN 파일에 호스트 이름을 붙여 넣는다고 IPsec 게이트웨이가 OpenVPN을 말하게 되지 않으며, 네이티브 IKEv2 클라이언트도 둘 다 IPsec이라고 불린다는 이유만으로 더 오래된 서비스와 호환되지는 않습니다.

이러한 조치들은 모두 이름표만 바꾸고 네트워크상의 동작은 그대로 두기 때문에, 그 결과 생기는 장애는 수정과 무관해 보입니다. 게이트웨이가 새 클라이언트가 구현하는 것을 제공할 수 없을 때 정직한 선택은 옛 프로토콜을 여전히 말하는 클라이언트이거나 계획된 게이트웨이 마이그레이션입니다. 그 사이를 추측하면 몇 주가 들고 아무것도 배우지 못합니다.

옛 프로필을 민감한 자료로 다루십시오

옛 프로필에는 내부 호스트 이름, 그룹 이름, 때로는 저장된 자격 증명 자료가 들어 있을 수 있으며, 이는 공개 변환기와 포럼 스레드가 모으는 것과 정확히 같은 형태입니다. 파일을 어딘가에 업로드하는 대신 관리자가 승인된 경로로 필드를 읽게 하십시오.

마이그레이션을 베타 클라이언트, 지원되지 않는 게스트 시스템, 또는 구식 클라이언트를 살리기 위해 고른 더 약한 인증에 의존하게 하려는 유혹을 물리치십시오. 옛 가격과 다운로드 페이지는 PCF 자체보다 나은 증거가 아닙니다. 그것들은 다른 시대의 권리를 설명할 뿐, 지금 필요한 계약을 설명하지 않기 때문입니다.