Ką sukonfigūruoti iš anksto prieš pirmąjį naudotojo VPN prisijungimą

Pirmasis VPN ryšys retai sugenda tunelyje. Jis sugenda, kai eilinis naudotojas nevaldomame tinkle vykdo instrukcijas, kurias parašė žmogus, jau įdiegęs sertifikatą. Profilis, pasitikėjimo grandinė ir kredencialai yra konfigūracija, ir visus tris galima pristatyti dar prieš įsitraukiant naudotojui. Tam naudotojui turėtų likti keturi veiksmai be jokių sprendimų viduje. Kiekvienas papildomas žingsnis, paliktas perdavime, tampa pagalbos skambučiu, kuris prasideda tuo, kad kas nors garsiai skaito dialogo langą.

Ką iš tikrųjų neša prisijungimo profilis

VPN profilis nėra nuoroda ar žymė. Tai pavadintas objektas operacinės sistemos ryšių saugykloje, kuriame yra serverio adresas, tunelio tipas, autentifikavimo metodas ir dažnai maršrutai, DNS priesagos bei paleidimo taisyklės, nusprendžiančios, kada jungtis. Windows sistemoje tie laukai atitinka VPNv2 konfigūracijos paslaugos teikėjo mazgus, todėl vienas profilis gali atkeliauti per Intune, Configuration Manager, paruošimo paketą ar rankiniu būdu importuotą XML failą.

Klientas taiko tą objektą fiksuota tvarka: patikrina serverio sertifikatą prieš patikimus šaknis, derasi dėl tunelio ir tik tada taiko maršrutizavimą bei vardų sprendimą, kol programa dar nemato tinklo. Ši tvarka paaiškina daugumą pranešimų apie ryšį, kuris sako esąs aktyvus, o nieko nekrauna: autentifikavimas pavyko, o iš tikrųjų nepavyko DNS arba maršrutų sąrašas. Skaitykite profilį kaip vieną objektą su seka, o ne kaip nepriklausomų jungiklių rinkinį. Trūkstama pasitikėjimo šaknis sugenda pirmame žingsnyje, prieš pasiūlant bet kokius kredencialus, todėl grąžinama bendra klaida, o ne prisijungimo užklausa.

Pasitikėjimo medžiaga yra laukas, kuris dažniausiai įnešamas rankomis kontrabanda. CA sertifikatas, pasirašantis tinklų sietuvą, turi būti prieš pirmą bandymą, o serverio vardo tikrinimas turi likti įjungtas su atitinkančiu vardu; tikrinimo išjungimas, kad testas praeitų, autentifikavimo problemą paverčia tyliu perėmimu, kurio joks naudotojas nepastebės.

Keturi pasirinkimai, kurių naudotojai neturėtų daryti niekada

Protokolas ir tunelio tipas pirmi: pasirinkite vieną palaikomą derinį platformai ir dokumentuokite tinklų sietuvo pusę, nes pažįstamas prekės ženklas nėra suderinamumo pareiškimas. Toliau galinis taškas: vienas pagrindinio kompiuterio vardas, kuris viešai išsprendžiamas ir atitinka sertifikatą, kurį pateikia sietuvas. Autentifikavimas priklauso tapatybės sistemai, ar tai būtų sertifikatas, naudotojo vardas su antru veiksniu, ar abu. Nė vienas iš jų nėra naudotojo pageidavimas, ir nė vienas neturėtų pasirodyti instrukcijose kaip klausimas.

Ketvirtas pasirinkimas yra apimtis: visas tunelis ar skeltas tunelis, ir kurie priešdėliai bei DNS priesagos keliauja viduje. Skeltas tunelis be vidinių priesagų nutekina vardų sprendimą bet kuriam sprendikliui, kurį siūlo vietinis tinklas, o visas tunelis be vietinių išteklių plano sugadina spausdintuvus ir belaisvius portalus. Abu yra administratoriaus sprendimai su naudotojui matomu poveikiu, ir būtent todėl naudotojas turi juos gauti jau nuspręstus.

Laikykite ryšio pavadinimą nuobodų ir stabilų. Naudotojai jį garsiai perskaito pagalbai, ieško klientų sąraše ir prisimena tarp slaptažodžio atkūrimų; pervadinimas migracijos viduryje sukuria pagalbos šuolį, neturintį nieko bendra su tuo, ar VPN veikia.

Pristatykite tapatybę vienam asmeniui ar vienam įrenginiui

Profilis yra viešas, o privatus raktas ne. Dažna diegimo klaida yra eksportuoti vieną veikiantį profilį kartu su jo sertifikatu ir perduoti failą iš rankų į rankas; taip kiekvienas nešiojamasis kompiuteris tampa vienos tapatybės klonu, o atšaukimas virsta viskas-arba-nieko sprendimu. Užregistruokite kredencialus palaikomu procesu: sertifikatą įrenginiui iš valdymo kanalo arba kredencialus naudotojui iš tapatybės teikėjo.

Įrenginio tuneliai ir naudotojo tuneliai autentifikuojasi skirtingais momentais, ir tas skirtumas nusprendžia, kokių kredencialų reikia. Įrenginio tunelis, jungiantis prieš prisijungimą, reikalauja mašinos sertifikato ir sistemai prieinamo profilio. Naudotojo tunelis, prasidedantis po prisijungimo, gali naudoti paties naudotojo kredencialus ir neturėtų reikalauti administratoriaus teisių. Mašinos lygio tinklo prieigą pridėti tik tam, kad kažkieno rytas netektų vieno paspaudimo, yra blogas mainas, nes praplečia, ką gali pasiekti be priežiūros paliktas įrenginys.

Registracija yra ir vieta, kur nusprendžiamas atkūrimo kelias. Sertifikato atnaujinimas ar slaptažodžio keitimas turi pasiekti įrenginį, kol tunelis nėra veikiantis, todėl paruošimas, tapatybės teikėjas ir sietuvas turi sutarti, kaip tai vyksta; jei vienintelis būdas pataisyti profilį yra tunelis, kurį tas profilis teikia, raktas užrakintas dėžutėje.

Suderinkite pristatymo kanalą su klientu

Vietiniai ir trečiųjų šalių klientai pristatomi skirtingai. Windows profilius galima pristatyti kaip VPNv2 ProfileXML per Intune ar Configuration Manager, tačiau ne kiekvienas mazgas atidengtas kiekviename valdymo paviršiuje, o maršrutizavimo, DNS ir paleidimo nustatymai skiriasi priklausomai nuo įrankio ir Windows versijos. Patvirtinkite, kurį lauką galima įdiegti, prieš žadėdami diegimą be prisilietimo, nes profilio parinkčių nuoroda dokumentuoja nustatymus, kurių kai kurie pristatymo keliai vis dar negali nustatyti.

Tiekėjų klientai prideda antrą sluoksnį, nes dvejetainis failas, profilis ir pagrindinio mazgo politika yra atskiri artefaktai. Pavyzdžiui, Cisco Secure Client palaiko išankstinį ir paketo, ir jo profilio diegimą, o kliento versiją reikia derinti su sietuvo konfigūracija; įdiegus vien paketą naudotojas lieka vedlio viduje.

Kad ir kokį kanalą pasirinktumėte, laikykite vieną tiesos šaltinį profiliui. Sutaisytas profilis, kurį senesnis paketas perrašo per kitą patikrinimą, yra pasikartojantis incidentas, o ilgalaikis sprendimas yra versijuota konfigūracija, o ne rankinis redagavimas kiekvienoje mašinoje.

Išbandykite perdavimą kaip naujas naudotojas, tada išbandykite atkūrimą

Surengkite bandomąjį diegimą su eiline paskyra įrenginyje, kuris niekada nesijungė, be administratoriaus išsaugotos sesijos ir iš anksto užregistruoto sertifikato. Patvirtinkite, kad profilis rodomas sąraše, prisijungimo užklausa atitinka instrukcijas ir pavadintas vidinis išteklius atsidaro, tada patikrinkite vardų sprendimą ir maršrutizavimo apimtį, o ne sustokite ties prijungto piktograma.

Užklauskite įrenginio profilių saugyklos, kad testas duotų įrodymų, o ne įspūdį.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Tada pereikite įvykius, su kuriais naudotojai tikrai susiduria: priverstinis slaptažodžio atkūrimas, atnaujintas sertifikatas, išstumtas kliento atnaujinimas ir tinklas, kurio bandomajame diegime niekas nenaudojo. Kiekvienas turėtų arba veikti, arba sugesti taip, kaip aprašo instrukcijos. Išbandykite ir tinklą, blokuojantį VPN prievadą, nes pirmas bandymas viešbučio Wi-Fi yra vieta, kur namų sėkmė nustoja padėti. Šalia kiekvieno rezultato užsirašykite kliento versiją ir OS build, nes kitas pranešimas ateis be jų.

Laikykite naudotojui skirtą perdavimą keturiose eilutėse: ryšio pavadinimas, laukiamas prisijungimas, išteklius, įrodantis sėkmę, ir kur siųsti klaidos tekstą. Niekam neturėtų būti prašoma slaptažodžio ar eksportuoto rakto, kad būtų parodyta nesėkmė. Architektūra, profilio vidus ir atkūrimo procedūra priklauso administratoriaus vadovui, saugomam šalia kliento versijos, su kuria jie buvo testuoti.