Може ли една VPN услуга да ги покрие работните површини Windows, Mac и Linux?

Три преносни сметачи во еден тим, три различни VPN менија и тикет што вели дека врската работи насекаде освен на Mac. Планот зад тие клиенти може да биде идентичен дури и кога менијата не се. Она што мора да се поклопи е потесно отколку што претпоставуваат повеќето воведувања: еден идентитет на порта, еден тип на акредитиви, едно множество рути и една политика на резолвер. Запишете ги тие четири пред некој да извезе профил, и работата на платформите се претвора во контролна листа наместо во истрага.

Почнете од договорот за пристап, а не од датотеката на клиентот

Договорот за пристап е пет реда што рецензент може да ги провери без да ја отвори конзолата на добавувачот. Тој ги именува приватните префикси што мора да бидат достапни, внатрешните имиња што мора да се разрешат, резолверот што одговара на нив, сообраќајот што смее да остане на локалната патека и сертификатот на портата што клиентот треба да го очекува. Сè друго во воведувањето е превод на тие редови во формат на датотека.

Пример од канцеларија ја прави формата конкретна: сервери за апликации во 10.60.0.0/16, приватни имиња под corp.example, внатрешен резолвер на 10.61.0.53, а обичното прелистување останува на патеката што уредот веќе ја користи. Последната ставка е одлука за политика, а не стандардна вредност на клиентот, и неколку клиенти ќе испратат сè низ тунелот ако никој не каже поинаку. Забележете го договорот со датум и сопственик, бидејќи токму тој запис подоцна ќе ви каже дали се сменил тунелот или политиката.

Изберете еден протокол и еден пар за автентикација што можете да го браните

IKEv2 со автентикација на портата заснована на сертификати и EAP за корисникот е вообичаен избор кога сите три платформи мора да работат без дополнителен софтвер, бидејќи Windows, macOS и NetworkManager секој доставува IKEv2 клиент. Неволјата е што поддршката за IKEv2 опишува ознака, а не множество функции. EAP методите, хардверски поддржаните клучеви, пресликувањето сертификат во сметка и автоматското повторно поврзување се имплементираат по платформа. Комбинација што работи на две од три е доволно честа за да се претпостави додека не се тестира.

Тестирајте го парот на секоја целна платформа пред да се напише водичот за воведување, а не потоа. Порта што нуди и EAP-MSCHAPv2 и EAP-TLS ви дава простор за резервна патека, под услов таа резервна патека да е документирана како поддржана, а не откриена за време на инцидент. Две поддржани патеки се евтино осигурување; недокументирана трета патека е иден тикет.

Кога ниту еден пар не ги покрива сите три клиенти, чесните опции се да додадете клиент, да додадете профил на портата или да го стесните списокот на поддржани платформи. Исклучувањето на проверката на сертификати на платформата што се жали најгласно не е една од нив. Таа промена го претвора јазот во компатибилност во ризик од пресретнување и ниту еден подоцнежен чекор од воведувањето не го поправа.

Изградете по еден артефакт на платформа од договорот

Windows користи VPNv2 профил, доставен преку MDM или создаден локално со Add-VpnConnection и неговиот XML товар. Гризат две работи: опсегот и довербата. Профил со опсег на уред и профил со опсег на корисник се инсталираат во различни складишта, така што сертификатот што му треба на клиентот мора да стои во складиштето што одговара на избраниот опсег. Погрешното спарување дава профил што се увезува чисто и потоа паѓа на првото поврзување.

macOS користи конфигурациски профил со управуван VPN товар, потпишан и дистрибуиран преку MDM или рачно инсталиран за пилот. Идентитетот и CA ланецот патуваат како одделни товари, затоа профилот може да се инсталира без поплаки и сепак да падне во моментот на поврзување. Проверете го списокот на товари, не само резултатот од инсталацијата.

Linux зависи од заднината зад NetworkManager, а strongSwan и додатокот за NetworkManager се одделни пакети. Својствата на врската се специфични за додатокот, а не општи VPN клучеви, па клучот препишан од друг додаток често се зачувува без грешка и потоа паѓа при активација. Изградете ја врската на чиста слика за да потврдите дека додатокот е таму каде што навистина ќе работи.

Трите артефакти се разликуваат по формат, но секој ги кодира истите пет реда од договорот. Тоа е тестот дали артефактот е готов: секој ред е некаде претставен и ништо дополнително не е измислено по патот.

Проверете рути, резолвер и повторно поврзување на чиста сметка

Поврзано не е приемен тест. На Windows Get-VpnConnection го прикажува профилот, а route print покажува дали приватниот префикс слетал на интерфејсот на тунелот. На macOS scutil --nc list ја потврдува активната услуга, додека scutil --dns го покажува редоследот на резолвери што системот навистина ќе го користи.

На Linux nmcli connection show --active докажува дека врската е активна, а resolvectl status го покажува DNS по врска. Резолвер присутен во датотеката за врска, но отсутен во излезот по врска, значи дека поделениот DNS не се применува. Тоа е разликата меѓу имиња што се разрешуваат и имиња што се разрешуваат низ тунелот и го менува тоа кој тим за поддршка го презема следниот чекор. Споредете го излезот по врска пред и откако врската ќе се подигне, не само потоа.

Изведете ја целата проверка на нова сметка, без кеширани акредитиви и без сертификат инсталиран од администратор. Потоа повторете ја по суспендирање и продолжување и уште еднаш по присилно повторно внесување на акредитивите. Тие два премини ги откриваат повеќето грешки при повторно поврзување што првото поврзување никогаш не ги покажува.

Верзионирајте го пакетот и задржете патека за враќање

Означете го секој пакет на платформата со ревизијата на договорот што ја спроведува и забележете ги верзиите на клиентот и портата со кои сте го прифатиле. Кога однесувањето се менува по ажурирање на клиентот, ознаката покажува на договор што треба повторно да се тестира, а не на датотека што треба да се погодува.

Држете го претходниот пакет на секоја платформа достапен и покрај него напишете ја командата за отстранување. Деинсталирањето на VPN профил не е огледална слика на инсталацијата на Windows, macOS или Linux, а разликите се појавуваат во најлошиот момент. Вежбајте го отстранувањето еднаш на резервен уред за архивата да стане план, а не надеж.