Kas jāsakonfigurē iepriekš pirms lietotāja pirmā VPN savienojuma

Pirmais VPN savienojums reti sabrūk tunelī. Tas sabrūk, kad parasts lietotājs nepārvaldītā tīklā izpilda norādījumus, ko rakstījis kāds, kuram sertifikāts jau bija instalēts. Profils, uzticēšanās ķēde un akreditācijas dati ir konfigurācija, un visus trīs var piegādāt pirms lietotāja iesaistīšanās. Tam lietotājam jāpaliek četrām darbībām bez lēmumiem to iekšienē. Katrs papildu solis, ko atstājat nodošanā, kļūst par atbalsta zvanu, kas sākas ar to, ka kāds skaļi nolasa dialoga logu.

Ko savienojuma profils patiešām satur

VPN profils nav saīsne vai grāmatzīme. Tas ir nosaukts objekts operētājsistēmas savienojumu krātuvē, kurā ir servera adrese, tuneļa tips, autentifikācijas metode un bieži arī maršruti, DNS sufiksi un iedarbināšanas noteikumi, kas nosaka, kad tas pievienojas. Windows šie lauki atbilst VPNv2 konfigurācijas pakalpojuma sniedzēja mezgliem, tāpēc viens profils var ierasties ar Intune, Configuration Manager, nodrošināšanas pakotni vai manuāli importētu XML failu.

Klients šo objektu piemēro fiksētā secībā: tas validē servera sertifikātu pret uzticamām saknēm, vienojas par tuneli un tikai pēc tam piemēro maršrutēšanu un vārdu izšķiršanu, pirms lietotne redz tīklu. Šī secība izskaidro lielāko daļu ziņojumu par savienojumu, kas apgalvo, ka tas ir aktīvs, kamēr nekas neielādējas: autentifikācija bija veiksmīga, un tas, kas patiešām neizdevās, ir DNS vai maršrutu saraksts. Lasiet profilu kā vienu objektu ar secību, nevis kā neatkarīgu slēdžu kopu. Trūkstoša uzticēšanās sakne neizdodas pirmajā solī, pirms tiek piedāvāti jebkādi akreditācijas dati, tāpēc tā rada vispārīgu kļūdu, nevis pieteikšanās pieprasījumu.

Uzticēšanās materiāls ir lauks, kas visbiežāk tiek iekļauts ar roku, to kontrabandējot. CA sertifikātam, kas paraksta vārteju, jābūt klāt pirms pirmā mēģinājuma, un servera nosaukuma validācijai jāpaliek ieslēgtai ar atbilstošu nosaukumu; validācijas izslēgšana, lai tests izietu, autentifikācijas problēmu pārvērš klusā pārtveršanā, ko neviens lietotājs nevar pamanīt.

Četras izvēles, kas lietotājiem nekad nav jāizdara

Protokols un tuneļa tips nāk pirmie: izvēlieties vienu atbalstītu kombināciju platformai un dokumentējiet vārtejas pusi, jo pazīstams zīmola nosaukums nav saderības paziņojums. Tālāk ir galapunkts: viens resursdatora nosaukums, kas publiski atrisinās un atbilst sertifikātam, ko uzrāda vārteja. Autentifikācija pieder identitātes sistēmai, vai tas būtu sertifikāts, lietotājvārds ar otru faktoru vai abi. Neviens no tiem nav lietotāja izvēle, un nevienam nevajadzētu parādīties kā jautājumam norādījumos.

Ceturtā izvēle ir apjoms: pilns tunelis vai sadalīts tunelis, un kuri prefiksi un DNS sufiksi ceļo iekšienē. Sadalīts tunelis bez iekšējiem sufiksiem noplūdina vārdu izšķiršanu jebkuram atrisinātājam, ko piedāvā vietējais tīkls, un pilns tunelis bez vietējo resursu plāna salauž printerus un sagūstītos portālus. Abi ir administratora lēmumi ar lietotājam redzamu ietekmi, un tāpēc lietotājam tie jāsaņem jau izlemti.

Turiet savienojuma nosaukumu garlaicīgu un stabilu. Lietotāji to skaļi nolasa atbalstam, meklē klientu sarakstā un atceras starp paroles atiestatīšanām; pārdēvēšana migrācijas vidū rada atbalsta pieaugumu, kam nav nekāda sakara ar to, vai VPN darbojas.

Piegādājiet identitāti vienai personai vai vienai ierīcei

Profils ir publisks, bet privātā atslēga nav. Bieža ieviešanas kļūda ir eksportēt vienu strādājošu profilu kopā ar tā sertifikātu un nodot failu no rokas rokā, kas padara katru portatīvo datoru par vienas identitātes klonu un pārvērš atsaukšanu par visu-vai-neko lēmumu. Tā vietā reģistrējiet akreditācijas datus atbalstītajā procesā: sertifikātu katrai ierīcei no pārvaldības kanāla vai akreditācijas datus katram lietotājam no identitātes nodrošinātāja.

Ierīces tuneļi un lietotāja tuneļi autentificējas dažādos brīžos, un šī atšķirība nosaka, kādi akreditācijas dati jums nepieciešami. Ierīces tunelim, kas pievienojas pirms pieteikšanās, nepieciešams mašīnas sertifikāts un sistēmai pieejams profils. Lietotāja tunelis, kas sākas pēc pieteikšanās, var izmantot paša lietotāja akreditācijas datus, un tam nevajadzētu prasīt administratora tiesības. Pievienot tīkla piekļuvi mašīnas līmenī tikai tāpēc, lai no kāda rīta pazustu viens klikšķis, ir slikts darījums, jo tas paplašina to, ko var sasniegt bez uzraudzības atstāta ierīce.

Reģistrācija ir arī vieta, kur tiek izlemts atjaunošanas ceļš. Sertifikāta atjaunošanai vai paroles maiņai jāsasniedz ierīce, kamēr tunelis ir izslēgts, tāpēc nodrošināšanai, identitātes nodrošinātājam un vārtejai jāvienojas, kā tas notiek; ja vienīgais veids, kā salabot profilu, ir caur tuneli, ko šis profils nodrošina, atslēga ir ieslēgta kastē.

Saskaņojiet piegādes kanālu ar klientu

Vietējie un trešo pušu klienti tiek piegādāti atšķirīgi. Windows profilus var piegādāt kā VPNv2 ProfileXML, izmantojot Intune vai Configuration Manager, taču ne katrs mezgls ir pieejams katrā pārvaldības virsmā, un maršrutēšanas, DNS un iedarbināšanas iestatījumi atšķiras atkarībā no rīka un Windows versijas. Pirms solīt ieviešanu bez pieskāriena apstipriniet, kuru lauku var izvietot, jo profila opciju atsauce dokumentē iestatījumus, ko daži piegādes ceļi joprojām nevar iestatīt.

Piegādātāju klienti pievieno otru slāni, jo binārais fails, profils un galvenā mezgla politika ir atsevišķi artefakti. Piemēram, Cisco Secure Client atbalsta gan pakotnes, gan tās profila iepriekšēju izvietošanu, un klienta versija ir jāsaskaņo ar vārtejas konfigurāciju; instalējot tikai pakotni, lietotājs paliek vedņa iekšienē.

Lai kādu kanālu izvēlētos, turiet vienu patiesības avotu profilam. Salabots profils, ko vecāka pakotne pārraksta nākamajā pārbaudē, ir atkārtots incidents, un ilgtspējīgais risinājums ir versijota konfigurācija, nevis manuāla rediģēšana katrā mašīnā.

Pārbaudiet nodošanu kā jauns lietotājs, pēc tam pārbaudiet atjaunošanu

Veiciet izmēģinājumu ar parastu kontu ierīcē, kas nekad nav pievienojusies, bez administratora saglabātās sesijas un iepriekš reģistrēta sertifikāta. Apstipriniet, ka profils parādās sarakstā, pieteikšanās pieprasījums atbilst norādījumiem un nosaukts iekšējais resurss atveras, tad pārbaudiet vārdu izšķiršanu un maršrutēšanas apjomu, nevis apstājieties pie savienotas ikonas.

Vaicājiet ierīces profilu krātuvi, lai tests sniegtu pierādījumus, nevis iespaidu.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Tad izstaigājiet notikumus, ar kuriem lietotāji patiešām saskaras: piespiedu paroles atiestatīšana, atjaunots sertifikāts, uzspiests klienta atjauninājums un tīkls, ko izmēģinājumā neviens nav izmantojis. Katram vai nu jādarbojas, vai jāizgāžas tā, kā aprakstīts norādījumos. Izmēģiniet arī tīklu, kas bloķē VPN portu, jo pirmais mēģinājums viesnīcas Wi-Fi ir vieta, kur mājas panākumi pārstāj palīdzēt. Blakus katram rezultātam pierakstiet klienta versiju un OS būvējumu, jo nākamais ziņojums pienāks bez tiem.

Turiet lietotājam paredzēto nodošanu četrās rindās: savienojuma nosaukums, gaidītā pieteikšanās, resurss, kas pierāda panākumus, un kur sūtīt kļūdas tekstu. Nevienam nevajadzētu prasīt paroli vai eksportētu atslēgu, lai parādītu neveiksmi. Arhitektūra, profila iekšpuse un atjaunošanas procedūra pieder administratora rokasgrāmatai, glabātai blakus klienta versijai, ar kuru tie tika pārbaudīti.