Што да се конфигурира однапред пред првото VPN поврзување на корисник

Првото VPN поврзување ретко откажува во тунелот. Тоа откажува кога обичен корисник на неупразувана мрежа следи упатства напишани од некој што веќе го инсталирал сертификатот. Профилот, синџирот на доверба и акредитивот се конфигурација, и сите три можат да бидат доставени пред корисникот да биде вклучен. На тој корисник треба да му останат четири дејства без одлуки внатре. Секој дополнителен чекор што ќе го оставите во предавањето станува повик до поддршката што започнува со тоа што некој гласно чита дијалог.

Што всушност носи профилот за поврзување

VPN профилот не е кратенка или обележувач. Тоа е именуван објект во складиштето за поврзувања на оперативниот систем, што ја содржи адресата на серверот, типот на тунелот, методот на автентикација и честопати маршрутите, DNS наставките и правилата за активирање што одлучуваат кога се поврзува. На Windows тие полиња одговараат на јазлите на давателот на конфигурациската услуга VPNv2, затоа еден профил може да пристигне преку Intune, Configuration Manager, пакет за подготовка или рачно внесена XML датотека.

Клиентот го применува тој објект по фиксен редослед: го проверува серверскиот сертификат против доверливи корени, преговара за тунелот и само потоа применува маршрутирање и разрешување на имиња пред апликацијата да види мрежа. Тој редослед ги објаснува повеќето извештаи за поврзување што вели дека е активно додека ништо не се вчитува: автентикацијата успеа, а DNS или списокот со маршрути е она што навистина откажа. Читајте го профилот како еден објект со низа, а не како збир независни прекинувачи. Недостасувачкиот корен на доверба откажува на првиот чекор, пред да биде понуден било каков акредитив, затоа дава општа грешка наместо барање за најава.

Материјалот за доверба е полето што најчесто се прошверцува рачно. CA сертификатот што ја потпишува портата мора да биде присутен пред првиот обид, а проверката на името на серверот мора да остане вклучена со име што се совпаѓа; исклучувањето на проверката за да помине тест ја претвора проблема со автентикација во тивко пресретнување што ниту еден корисник не може да го открие.

Четирите избори што корисниците никогаш не треба да ги направат

Протоколот и типот на тунелот се први: изберете една поддржана комбинација по платформа и документирајте ја страната на портата, бидејќи познато брендирано име не е изјава за компатибилност. Следна е крајната точка: едно име на домаќин што јавно се разрешува и одговара на сертификатот што го презентира портата. Автентикацијата и припаѓа на идентитетскиот систем, било да е сертификат, корисничко име со втор фактор или двете. Ниту еден од овие не е преференца на корисникот, и ниту еден не треба да се појави како прашање во упатствата.

Четвртиот избор е опсегот: целосен тунел или поделен тунел, и кои префикси и DNS наставки патуваат внатре. Поделениот тунел без внатрешни наставки го протекува разрешувањето на имиња кон кој било разрешувач што го нуди локалната мрежа, а целосниот тунел без план за локални ресурси ги крши печатачите и заробените портали. Двете се одлуки на администраторот со видливи ефекти за корисникот, и токму затоа корисникот треба да ги добие веќе решени.

Држете го името на поврзувањето досадно и стабилно. Корисниците го читаат гласно на поддршката, го бараат во списокот на клиентот и го паметат помеѓу ресетирања на лозинката; преименувањето среде миграција создава скок во поддршката што нема врска со тоа дали VPN работи.

Доставете идентитет по лице или по уред

Профилот е јавен, а приватниот клуч не е. Честа грешка при распоредување е да се извезе еден работен профил заедно со неговиот сертификат и датотеката да се предава од рака на рака, што го прави секој преносен компјутер клон на еден идентитет и го претвора отповикувањето во одлука се-или-ништо. Наместо тоа, регистрирајте ги акредитивите преку поддржаниот процес: сертификат по уред од каналот за управување или акредитив по корисник од давателот на идентитет.

Тунелите на уред и тунелите на корисник се автентицираат во различни моменти, и таа разлика одлучува кој акредитив ви е потребен. Тунел на уред што се поврзува пред најава бара сертификат на машината и профил достапен на системот. Тунел на корисник што започнува по најава може да го користи сопствениот акредитив на корисникот и не треба да бара администраторски права. Додавањето мрежен пристап на ниво на машина само за да се отстрани еден клик од нечие утро е лоша зделка, бидејќи го проширува она до што може да стигне ненадгледуван уред.

Регистрацијата е и местото каде што се одлучува патот за обнова. Обнова на сертификат или промена на лозинка мора да стигне до уредот додека тунелот е паднат, затоа подготовката, давателот на идентитет и портата мора да се договорат како тоа се случува; ако единствениот начин да се поправи профил е преку тунелот што го дава тој профил, клучот е заклучен во кутијата.

Усогласете го каналот за испорака со клиентот

Вградените и клиентите од трети страни се доставуваат различно. Windows профилите можат да се достават како VPNv2 ProfileXML преку Intune или Configuration Manager, но не секој јазол е изложен на секоја површина за управување, а поставките за маршрутирање, DNS и активирање варираат според алатката и верзијата на Windows. Потврдете кое поле може да се распореди пред да ветите распоредување без допир, бидејќи референцата за опциите на профилот документира поставки што некои патишта за испорака се уште не можат да ги постават.

Клиентите на добавувачите додаваат втор слој, бидејќи бинарната датотека, профилот и политиката на главниот јазол се одделни артефакти. На пример, Cisco Secure Client поддржува однапред распоредување и на пакетот и на неговиот профил, а верзијата на клиентот мора да се усогласи со конфигурацијата на портата; инсталирањето само на пакетот го остава корисникот внатре во волшебник.

Кој и да е каналот што ќе го изберете, држете еден извор на вистина за профилот. Поправен профил што постариот пакет го презапишува при следната проверка е повторлив инцидент, а трајното решение е верзионирана конфигурација наместо рачно уредување на секоја машина.

Тестирајте го предавањето како нов корисник, потоа тестирајте обнова

Направете пилот со обична сметка на уред што никогаш не се поврзал, без зачуваната сесија на администраторот или однапред регистриран сертификат. Потврдете дека профилот се појавува во списокот, барањето за најава одговара на упатствата и именуван внатрешен ресурс се отвора, потоа проверете го разрешувањето на имиња и опсегот на маршрутирање наместо да застанете на икона за поврзаност.

Прашајте го складиштето на профили на уредот за тестот да даде доказ, а не впечаток.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Потоа поминете низ настаните со кои корисниците навистина се среќаваат: принудно ресетирање на лозинка, обновен сертификат, турнат ажурирање на клиентот и мрежа што никој во пилотот не ја користел претходно. Секој треба или да работи или да откаже онака како што опишуваат упатствата. Пробајте и мрежа што го блокира портот на VPN, бидејќи првиот обид на хотелски Wi-Fi е местото каде домашниот успех престанува да помага. Запишете ја верзијата на клиентот и изградбата на ОС до секој резултат, бидејќи следниот извештај ќе пристигне без нив.

Држете го предавањето кон корисникот во четири реда: името на поврзувањето, очекуваната најава, ресурсот што докажува успех и каде да се испрати текстот на грешката. Никој не треба да биде прашан за лозинка или извезен клуч за да се покаже неуспех. Архитектурата, внатрешноста на профилот и постапката за обнова припаѓаат на прирачникот на администраторот, архивирани до верзијата на клиентот со која се тестирани.