사용자의 첫 VPN 연결 전에 무엇을 미리 구성해야 하는가

첫 VPN 연결은 터널에서 실패하는 경우가 드뭅니다. 관리되지 않는 네트워크에서 평범한 사용자가 이미 인증서를 설치한 사람이 쓴 지침을 따를 때 실패합니다. 프로필, 신뢰 체인, 자격 증명은 모두 구성이며, 세 가지 모두 사용자가 개입하기 전에 배포할 수 있습니다. 그 사용자에게 남는 것은 내부에 결정이 없는 네 가지 동작이어야 합니다. 인수인계에 남긴 추가 단계는 누군가 대화 상자를 소리 내어 읽는 것으로 시작하는 지원 통화가 됩니다.

연결 프로필이 실제로 담는 것

VPN 프로필은 바로 가기나 즐겨찾기가 아닙니다. 운영 체제의 연결 저장소에 있는 이름 있는 개체로, 서버 주소, 터널 유형, 인증 방법, 그리고 언제 연결할지 결정하는 경로, DNS 접미사, 트리거 규칙을 담습니다. Windows에서는 이 필드가 VPNv2 구성 서비스 공급자 노드에 대응하므로 하나의 프로필이 Intune, Configuration Manager, 프로비저닝 패키지 또는 직접 가져온 XML 파일로 도착할 수 있습니다.

클라이언트는 그 개체를 정해진 순서로 적용합니다. 서버 인증서를 신뢰된 루트에 대해 검증하고, 터널을 협상하고, 그다음에야 응용 프로그램이 네트워크를 보기 전에 라우팅과 이름 확인을 적용합니다. 이 순서가 연결되었다고 말하면서 아무것도 로드되지 않는 보고의 대부분을 설명합니다. 인증은 성공했고 실제로 실패한 것은 DNS나 경로 목록입니다. 프로필은 독립적인 스위치의 모음이 아니라 순서가 있는 하나의 개체로 읽으십시오. 신뢰 루트가 없으면 첫 단계에서 실패하며 어떤 자격 증명도 제시되기 전에 멈추므로, 로그인 요청 대신 일반 오류가 나옵니다.

신뢰 자료는 가장 자주 손으로 몰래 들어오는 필드입니다. 게이트웨이에 서명하는 CA 인증서는 첫 시도 전에 있어야 하고, 서버 이름 검증은 일치하는 이름과 함께 켜져 있어야 합니다. 시험을 통과시키려고 검증을 끄면 인증 문제가 어떤 사용자도 감지할 수 없는 조용한 가로채기로 바뀝니다.

사용자가 절대 하지 말아야 할 네 가지 선택

프로토콜과 터널 유형이 먼저입니다. 플랫폼마다 지원되는 조합 하나를 고르고 게이트웨이 쪽을 문서화하십시오. 익숙한 브랜드 이름은 호환성 선언이 아닙니다. 다음은 끝점입니다. 공개적으로 확인되고 게이트웨이가 제시하는 인증서와 일치하는 호스트 이름 하나입니다. 인증은 신원 시스템에 속하며, 인증서든 두 번째 요소가 있는 사용자 이름이든 둘 다이든 마찬가지입니다. 이 중 어느 것도 사용자의 선호가 아니며, 어느 것도 지침에서 질문으로 나와서는 안 됩니다.

네 번째 선택은 범위입니다. 전체 터널인지 분할 터널인지, 그리고 어떤 접두사와 DNS 접미사가 그 안으로 다니는지입니다. 내부 접미사가 없는 분할 터널은 로컬 네트워크가 제공하는 아무 확인자에게나 이름 확인을 흘리고, 로컬 자원 계획이 없는 전체 터널은 프린터와 캡티브 포털을 깨뜨립니다. 둘 다 사용자에게 보이는 영향을 가진 관리자의 결정이며, 그래서 사용자는 이미 결정된 상태로 받아야 합니다.

연결 이름을 지루하고 안정적으로 유지하십시오. 사용자는 지원에 소리 내어 읽어 주고, 클라이언트 목록에서 찾고, 비밀번호 재설정 사이에 기억합니다. 마이그레이션 도중에 이름을 바꾸면 VPN이 작동하는지와 무관한 지원 급증이 생깁니다.

신원을 사람별 또는 장치별로 배포하십시오

프로필은 공개이고 개인 키는 아닙니다. 흔한 배포 실수는 작동하는 프로필 하나를 인증서와 함께 내보내 파일을 돌리는 것이며, 그러면 모든 노트북이 하나의 신원 복제가 되고 폐기가 전부 아니면 전무의 결정이 됩니다. 대신 지원되는 절차로 자격 증명을 등록하십시오. 관리 채널에서 장치별 인증서, 또는 신원 공급자에서 사용자별 자격 증명을 받으십시오.

장치 터널과 사용자 터널은 서로 다른 시점에 인증하며, 그 차이가 어떤 자격 증명이 필요한지 결정합니다. 로그인 전에 연결하는 장치 터널은 컴퓨터 인증서와 시스템이 사용할 수 있는 프로필이 필요합니다. 로그인 후에 시작하는 사용자 터널은 사용자 자신의 자격 증명을 쓸 수 있고 관리자 권한을 요구해서는 안 됩니다. 누군가의 아침에서 클릭 하나를 없애려고 컴퓨터 수준 네트워크 접근을 더하는 것은 나쁜 거래입니다. 감독 없는 장치가 닿을 수 있는 범위를 넓히기 때문입니다.

등록은 복구 경로가 정해지는 곳이기도 합니다. 인증서 갱신이나 비밀번호 변경은 터널이 내려간 상태에서 장치에 도달해야 하므로, 프로비저닝과 신원 공급자와 게이트웨이가 그 방법에 합의해야 합니다. 프로필을 고치는 유일한 길이 그 프로필이 제공하는 터널이라면, 열쇠는 상자 안에 잠겨 있습니다.

배포 채널을 클라이언트에 맞추십시오

기본 클라이언트와 타사 클라이언트는 배포 방식이 다릅니다. Windows 프로필은 Intune이나 Configuration Manager를 통해 VPNv2 ProfileXML로 배포할 수 있지만, 모든 노드가 모든 관리 화면에 노출되지는 않으며 라우팅, DNS, 트리거 설정은 도구와 Windows 버전에 따라 다릅니다. 제로 터치 배포를 약속하기 전에 어느 필드를 배포할 수 있는지 확인하십시오. 프로필 옵션 참조에는 일부 배포 경로가 아직 설정하지 못하는 항목이 문서화되어 있습니다.

공급업체 클라이언트는 두 번째 층을 더합니다. 바이너리, 프로필, 헤드엔드 정책이 별개의 산출물이기 때문입니다. 예를 들어 Cisco Secure Client는 패키지와 그 프로필 모두의 사전 배포를 지원하며, 클라이언트 버전은 게이트웨이 구성과 조정되어야 합니다. 패키지만 설치하면 사용자는 마법사 안에 남습니다.

어떤 채널을 고르든 프로필에 대해 하나의 진실 원천을 유지하십시오. 오래된 패키지가 다음 확인에서 덮어쓰는 수리된 프로필은 반복되는 사건이며, 지속되는 해결책은 각 기계에서의 수동 편집이 아니라 버전이 지정된 구성입니다.

새 사용자로서 인수인계를 시험하고, 그다음 복구를 시험하십시오

관리자의 저장된 세션이나 미리 등록된 인증서 없이, 한 번도 연결한 적 없는 장치에서 일반 계정으로 파일럿하십시오. 프로필이 목록에 나타나고, 로그인 요청이 지침과 일치하며, 이름이 있는 내부 자원이 열리는지 확인하고, 그다음 연결됨 아이콘에서 멈추지 말고 이름 확인과 라우팅 범위를 점검하십시오.

장치의 프로필 저장소를 조회하여 시험이 인상이 아니라 증거를 내놓게 하십시오.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

그다음 사용자가 실제로 만나는 사건을 걸어 보십시오. 강제 비밀번호 재설정, 갱신된 인증서, 밀어 넣은 클라이언트 업데이트, 그리고 파일럿의 누구도 전에 쓰지 않은 네트워크입니다. 각각은 지침이 설명하는 방식으로 작동하거나 실패해야 합니다. VPN 포트를 막는 네트워크도 시험해 보십시오. 호텔 Wi-Fi에서의 첫 시도가 집에서의 성공이 더는 도움이 되지 않는 지점입니다. 각 결과 옆에 클라이언트 버전과 OS 빌드를 기록하십시오. 다음 보고서는 그것들 없이 도착합니다.

사용자에게 향하는 인수인계는 네 줄로 유지하십시오. 연결 이름, 예상 로그인, 성공을 증명하는 자원, 그리고 오류 텍스트를 보낼 곳입니다. 실패를 보여 주기 위해 누구에게도 비밀번호나 내보낸 키를 요구해서는 안 됩니다. 아키텍처, 프로필 내부, 복구 절차는 관리자의 런북에 속하며, 시험한 클라이언트 버전 옆에 보관합니다.