Ar viena VPN paslauga gali padengti Windows, Mac ir Linux darbalaukius?

Trys nešiojamieji kompiuteriai vienoje komandoje, trys skirtingi VPN meniu ir užklausa, kad ryšys veikia visur, išskyrus Mac. Planas už tų klientų gali būti identiškas, net kai meniu nėra. Sutapti turi mažiau, nei daro prielaidą dauguma diegimų: viena tinklų sietuvos tapatybė, vienas kredencialų tipas, vienas maršrutų rinkinys ir viena sprendėjo politika. Užsirašykite šiuos keturis dalykus prieš kam nors eksportuojant profilį, ir platformų darbas taps kontroliniu sąrašu, o ne tyrimu.

Pradėkite nuo prieigos sutarties, o ne nuo kliento failo

Prieigos sutartis yra penkios eilutės, kurias recenzentas gali patikrinti neatidaręs tiekėjo konsolės. Joje išvardyti privatūs prefiksai, kurie turi būti pasiekiami, vidiniai vardai, kurie turi būti išsprendžiami, sprendėjas, kuris į juos atsako, srautas, kuriam leidžiama likti vietiniame kelyje, ir tinklų sietuvos sertifikatas, kurio klientas turėtų tikėtis pamatyti. Visa kita diegime yra tų eilučių vertimas į failo formatą.

Biuro pavyzdys padaro formą konkrečią: programų serveriai 10.60.0.0/16, privatūs vardai po corp.example, vidinis sprendėjas 10.61.0.53, o įprastas naršymas lieka tame kelyje, kurį įrenginys jau naudoja. Paskutinis punktas yra politikos sprendimas, o ne numatytoji kliento reikšmė, ir keli klientai siųs viską tuneliu, jei niekas nepasakys kitaip. Užfiksuokite sutartį su data ir savininku, nes būtent tas įrašas vėliau pasakys, ar pasikeitė tunelis, ar politika.

Pasirinkite vieną protokolą ir vieną autentifikavimo porą, kurią galite apginti

IKEv2 su sertifikatais pagrįstu tinklų sietuvos autentifikavimu ir EAP naudotojui yra įprastas pasirinkimas, kai visos trys platformos turi veikti be papildomos programinės įrangos, nes Windows, macOS ir NetworkManager kiekviena pateikia IKEv2 klientą. Bėda ta, kad IKEv2 palaikymas apibūdina etiketę, o ne funkcijų rinkinį. EAP metodai, aparatinės įrangos palaikomi raktai, sertifikato susiejimas su paskyra ir automatinis prisijungimas iš naujo įgyvendinami kiekvienoje platformoje atskirai. Derinys, veikiantis dviejose iš trijų, yra pakankamai dažnas, kad jį reikėtų laikyti duotybe, kol nepabandėte.

Išbandykite porą kiekvienoje tikslinėje platformoje prieš rašydami diegimo vadovą, o ne po to. Tinklų sietuva, siūlanti ir EAP-MSCHAPv2, ir EAP-TLS, duoda vietos atsarginiam keliui, jei tas atsarginis kelias dokumentuotas kaip palaikomas, o ne aptiktas incidento metu. Du palaikomi keliai yra pigus draudimas; nedokumentuotas trečias kelias yra būsima užklausa.

Kai nė viena pora neapima visų trijų klientų, sąžiningos galimybės yra pridėti klientą, pridėti profilį tinklų sietuvoje arba susiaurinti palaikomų platformų sąrašą. Išjungti sertifikatų tikrinimą platformoje, kuri skundžiasi garsiausiai, nėra viena iš jų. Toks pakeitimas suderinamumo spragą paverčia perėmimo rizika, ir joks vėlesnis diegimo žingsnis jos nepataiso.

Sukurkite po vieną artefaktą kiekvienai platformai pagal sutartį

Windows naudoja VPNv2 profilį, pristatomą per MDM arba sukuriamą vietoje naudojant Add-VpnConnection ir jo XML naudingąją apkrovą. Kanda dvi dalys: apimtis ir pasitikėjimas. Įrenginio apimties profilis ir naudotojo apimties profilis įdiegiami į skirtingas saugyklas, todėl klientui reikalingas sertifikatas turi būti saugykloje, atitinkančioje pasirinktą apimtį. Neteisingai suporavus gaunamas profilis, kuris importuojamas švariai ir tada sugenda per pirmą jungimąsi.

macOS naudoja konfigūracijos profilį su valdoma VPN naudingąja apkrova, pasirašytą ir platinamą per MDM arba įdiegtą rankiniu būdu pilotui. Tapatybė ir CA grandinė keliauja kaip atskiros naudingosios apkrovos, todėl profilis gali įsirengti be jokių priekaištų ir vis tiek sugesti jungimosi metu. Tikrinkite naudingųjų apkrovų sąrašą, o ne vien diegimo rezultatą.

Linux priklauso nuo užpakalinės dalies už NetworkManager, o strongSwan ir NetworkManager įskiepis yra atskiri paketai. Ryšio savybės būdingos įskiepiui, o ne bendri VPN raktai, todėl raktas, nukopijuotas iš kito įskiepio, dažnai išsaugomas be klaidos ir tada sugenda aktyvinant. Sukurkite ryšį švariame atvaizde, kad patvirtintumėte, jog įskiepis yra ten, kur jis iš tikrųjų veiks.

Trys artefaktai skiriasi formatu, bet kiekvienas užkoduoja tas pačias penkias sutarties eilutes. Tai ir yra testas, ar artefaktas baigtas: kiekviena eilutė kažkur atstovaujama, ir nieko papildomo pakeliui neišgalvota.

Patikrinkite maršrutus, sprendėją ir prisijungimą iš naujo švioje paskyroje

Prisijungta nėra priėmimo testas. Windows Get-VpnConnection rodo profilį, o route print rodo, ar privatus prefiksas atsidūrė tunelio sąsajoje. macOS scutil --nc list patvirtina aktyvią paslaugą, o scutil --dns rodo sprendėjų tvarką, kurią sistema iš tikrųjų naudos.

Linux nmcli connection show --active įrodo, kad ryšys aktyvus, o resolvectl status rodo DNS pagal jungtį. Sprendėjas, esantis ryšio faile, bet nesantis jungties išvestyje, reiškia, kad padalytas DNS netaikomas. Tai skirtumas tarp vardų, kurie išsprendžiami, ir vardų, kurie išsprendžiami per tunelį, ir jis keičia, kuri palaikymo komanda imasi kito žingsnio. Palyginkite jungties išvestį prieš ir po ryšio pakėlimo, o ne tik po jo.

Atlikite visą patikrą naujoje paskyroje, be podėlyje laikomų kredencialų ir be administratoriaus įdiegto sertifikato. Tada pakartokite ją po sustabdymo ir atnaujinimo, ir dar kartą privertę iš naujo įvesti kredencialus. Tie du perėjimai atskleidžia daugumą prisijungimo iš naujo gedimų, kurių pirmas prisijungimas niekada neparodo.

Versijuokite paketą ir palaikykite atkūrimo kelią

Pažymėkite kiekvieną platformos paketą sutarties redakcija, kurią jis įgyvendina, ir pažymėkite kliento bei tinklų sietuvos versijas, su kuriomis jį priėmėte. Kai elgsena pasikeičia po kliento atnaujinimo, žyma nurodo sutartį, kurią reikia testuoti iš naujo, o ne failą, kurį reikia spėlioti.

Laikykite ankstesnį kiekvienos platformos paketą pasiekiamą ir šalia jo parašykite šalinimo komandą. VPN profilio pašalinimas nėra įdiegimo veidrodinė kopija nei Windows, nei macOS, nei Linux atveju, o skirtumai pasirodo pačiu blogiausiu metu. Vieną kartą pasimokykite šalinti atsarginiame įrenginyje, kad archyvas taptų planu, o ne viltimi.