VPN профил само со PCF: што да прашате пред миграција

Некој ви подава .pcf датотека и лаптоп и очекува врската да работи точно како пред години. Обично не работи, и форматот на датотеката ретко е причината. PCF ги запишува параметрите што му биле потребни на стариот Cisco VPN Client за да стигне до еден конкретен концентратор; тој не кажува ништо за тоа дали сегашен клиент и понатаму може да зборува со таа услуга. Датотеката е доказ за мината врска, а не договор за следната.

Одвојувањето на тој доказ од барањата е целата задача. Она што сопственикот на портата ви го должи е поддржана комбинација на клиент, протокол, метод на автентикација и формат на профил, што е друго прашање од тоа дали некоја апликација ќе го отвори вашиот стар профил.

Што всушност запишува датотеката во вашата рака

PCF е мал профил од записи за врска: домаќин или пар примарен и резервен, име на група и навестувања како клиентот треба да ги прикаже акредитивите. Во него нема преговарање за протокол, нема одлука за доверба и нема изјава за сегашните можности на портата. Неговото читање ви кажува каде се јавувал стариот клиент и под кое име на група, а тој дел е навистина корисен контекст за оној што го води главниот јазол.

Она што не може да ви каже е дали услугата зад тоа име на домаќин и понатаму го прифаќа истиот протокол, или дали сметката опстојува во форма што одговара на навестувањата. Тие одговори живеат на портата и во складиштето за идентитети, затоа прашајте таму пред да градите.

Три барања што изгледаат како едно

Првото барање е компатибилност на мрежата: клиентот мора да го имплементира протоколот за далечински пристап што портата го завршува. Второто е автентикација, каде методот што портата го бара — сертификат, групни акредитиви плус MFA, или EAP — мора да биде оној што клиентот навистина може да го изврши. Третото е политика: поделен тунел, DNS, базени со адреси и какви било проверки на состојбата, сето конфигурирано на портата и доставено до клиентот во профил што тој мора да го прифати.

PCF дава слаб доказ за второто барање и суштински никаков за другите две. Функцијата за увоз дополнително ја замаглува границата: клиент што ги пресликува старите полиња во свој формат може да успее при увозот, а да не успее да се поврзе, а можно е и обратното.

Пет прашања што даваат употреблив одговор

Пратете прашања наместо датотеката. Која комбинација на услуга за далечински пристап и клиент е поддржана денес; кој протокол таа услуга го претставува на интернет; кој метод на автентикација и пат за регистрација важат; кој профил, корени на доверба и групна политика или политика за MFA му припаѓаат; и кои делови се разликуваат од старата врска. Секој одговор одговара на едно од трите барања погоре.

Таа листа ја претвора дискусијата за формати на датотеки во одлука за поддршка и обично враќа врска до документација и именуван одговорен наместо кревање раменици. Таа исто така рано ви кажува дали миграцијата е нов профил кон постоечка услуга или промена на портата што никој и понатаму не ја закажал. Прашајте писмено, бидејќи одговорите стануваат критериуми за прифаќање на она што ќе го изградите следно. Задржете го и старото име на групата во тикетот, бидејќи тоа често е најбрзиот пат за операторот да ја најде соодветната политика.

Преименувањето не преведува ништо

Cisco Secure Client ги документира XML профилите со сопствени избори на протокол, па преименувањето на .pcf во .xml не произведува ниту XML, ниту поставки. Вметнувањето име на домаќин во OpenVPN датотека не прави IPsec портата да зборува OpenVPN, а нативниот IKEv2 клиент не станува компатибилен со постара услуга само затоа што двете се опишуваат како IPsec.

Секој од тие чекори менува ознака и го остава однесувањето на мрежата недопрено, поради што добиениот дефект изгледа неврзан со измената. Кога портата не може да го понуди она што новиот клиент го имплементира, чесните опции се клиент што и понатаму зборува стариот протокол или планирана миграција на портата. Погодувањето меѓу нив чини недели и не учи на ништо.

Третирајте го стариот профил како чувствителен материјал

Стариот профил може да содржи внатрешно име на домаќин, име на група и понекогаш зачувани акредитиви, што е токму формата на нешто што го собираат јавните конвертори и форумските нишки. Нека администратор ги прочита полињата преку одобрен канал наместо да ја качувате датотеката некаде.

Спротиставете се на искушението миграцијата да зависи од бета клиент, неподдржана гостинска система или послаба автентикација избрана за да се одржи застарен клиент во живот. Старите цени и страници за преземање не се подобар доказ од самиот PCF, зашто опишуваат право од друга ера, а не договорот што ви треба сега.