ഒരു VPN സേവനത്തിന് Windows, Mac, Linux ഡെസ്ക്ടോപ്പുകൾ ഉൾക്കൊള്ളാനാകുമോ?
ഒരു പ്രവേശന പദ്ധതി Windows, Mac, Linux ഡെസ്ക്ടോപ്പുകൾക്ക് സേവനം നൽകാം, എന്നാൽ ഗേറ്റ്വേ ഐഡന്റിറ്റി, ക്രെഡൻഷ്യൽ, റൂട്ടുകൾ, റെസോൾവർ നയം എന്നിവ ഉറപ്പിച്ചതിന് ശേഷം മാത്രം.
ഒരു ടീമിൽ മൂന്ന് ലാപ്ടോപ്പുകൾ, മൂന്ന് വ്യത്യസ്ത VPN മെനുകൾ, Mac ഒഴികെ എല്ലായിടത്തും കണക്ഷൻ പ്രവർത്തിക്കുന്നു എന്ന് പറയുന്ന ഒരു ടിക്കറ്റ്. ആ ക്ലയന്റുകൾക്ക് പിന്നിലെ പദ്ധതി മെനുകൾ വ്യത്യസ്തമായാലും ഒന്നുതന്നെയാകാം. ഒത്തുപോകേണ്ടത് മിക്ക റോൾഔട്ടുകളും കരുതുന്നതിലും ഇടുങ്ങിയതാണ്: ഒരു ഗേറ്റ്വേ ഐഡന്റിറ്റി, ഒരു ക്രെഡൻഷ്യൽ തരം, ഒരു റൂട്ട് സെറ്റ്, ഒരു റെസോൾവർ നയം. ആരും ഒരു പ്രൊഫൈൽ എക്സ്പോർട്ട് ചെയ്യുന്നതിന് മുൻപ് ഈ നാലും എഴുതുക, അപ്പോൾ പ്ലാറ്റ്ഫോം ജോലി അന്വേഷണത്തിന് പകരം ഒരു ചെക്ക് ലിസ്റ്റ് ആകും.
ക്ലയന്റ് ഫയലല്ല, പ്രവേശന കരാറിൽ നിന്ന് തുടങ്ങുക
പ്രവേശന കരാർ അഞ്ച് വരികളാണ്, വെണ്ടർ കൺസോൾ തുറക്കാതെ ഒരു അവലോകകന് പരിശോധിക്കാം. അത് പേരെടുത്ത് പറയുന്നത് എത്തിച്ചേരേണ്ട സ്വകാര്യ പ്രിഫിക്സുകളെയാണ്, പരിഹരിക്കേണ്ട ആന്തരിക നാമങ്ങൾ, അവയ്ക്ക് ഉത്തരം നൽകുന്ന റെസോൾവർ, ലോക്കൽ പാതയിൽ തുടരാൻ അനുവദിച്ച ട്രാഫിക്, ക്ലയന്റ് പ്രതീക്ഷിക്കേണ്ട ഗേറ്റ്വേ സർട്ടിഫിക്കറ്റ് എന്നിവ. റോൾഔട്ടിലെ മറ്റെല്ലാം ആ വരികളെ ഒരു ഫയൽ ഫോർമാറ്റിലേക്കുള്ള വിവർത്തനമാണ്.
ഒരു ഓഫീസ് ഉദാഹരണം രൂപം വ്യക്തമാക്കുന്നു: 10.60.0.0/16 ലെ ആപ്ലിക്കേഷൻ സെർവറുകൾ, corp.example കീഴിലുള്ള സ്വകാര്യ നാമങ്ങൾ, 10.61.0.53 ലെ ആന്തരിക റെസോൾവർ, സാധാരണ ബ്രൗസിംഗ് ഉപകരണം ഇപ്പോൾ ഉപയോഗിക്കുന്ന പാതയിൽ തന്നെ. അവസാനത്തേത് ക്ലയന്റ് ഡിഫോൾട്ടല്ല, ഒരു നയ തീരുമാനമാണ്; ആരും മറ്റൊന്ന് പറയുന്നില്ലെങ്കിൽ പല ക്ലയന്റുകളും എല്ലാം ടണലിലൂടെ അയയ്ക്കും. കരാർ തീയതിയും ഉടമയും സഹിതം രേഖപ്പെടുത്തുക, എന്തെന്നാൽ ടണൽ മാറിയോ നയം മാറിയോ എന്ന് പിന്നീട് പറയുന്നത് ആ രേഖയാണ്.
നിങ്ങൾക്ക് ന്യായീകരിക്കാവുന്ന ഒരു പ്രോട്ടോക്കോളും ഒരു ഓതന്റിക്കേഷൻ ജോഡിയും തിരഞ്ഞെടുക്കുക
അധിക സോഫ്റ്റ്വെയറില്ലാതെ മൂന്ന് പ്ലാറ്റ്ഫോമുകളും പ്രവർത്തിക്കണമെങ്കിൽ സർട്ടിഫിക്കറ്റ് അടിസ്ഥാനമാക്കിയ ഗേറ്റ്വേ ഓതന്റിക്കേഷനും ഉപയോക്താവിന് EAP ഉം ചേർന്ന IKEv2 ആണ് സാധാരണ തിരഞ്ഞെടുപ്പ്, കാരണം Windows, macOS, NetworkManager ഓരോന്നും IKEv2 ക്ലയന്റ് നൽകുന്നു. പ്രശ്നം, IKEv2 പിന്തുണ എന്നത് ഒരു ലേബലാണ്, ഒരു ഫീച്ചർ കൂട്ടമല്ല. EAP രീതികൾ, ഹാർഡ്വെയർ പിന്തുണയുള്ള കീകൾ, സർട്ടിഫിക്കറ്റ്-അക്കൗണ്ട് മാപ്പിംഗ്, സ്വയമേവയുള്ള വീണ്ടും കണക്ട് എന്നിവ ഓരോ പ്ലാറ്റ്ഫോമിലും വെവ്വേറെ നടപ്പാക്കുന്നു. മൂന്നിൽ രണ്ടിൽ പ്രവർത്തിക്കുന്ന കോമ്പിനേഷൻ സാധാരണമായതിനാൽ പരിശോധിക്കുന്നതുവരെ അത് തന്നെ കരുതുക.
ഡിപ്ലോയ്മെന്റ് ഗൈഡ് എഴുതുന്നതിന് മുൻപ് ഓരോ ലക്ഷ്യ പ്ലാറ്റ്ഫോമിലും ജോഡി പരിശോധിക്കുക, ശേഷമല്ല. EAP-MSCHAPv2 ഉം EAP-TLS ഉം നൽകുന്ന ഗേറ്റ്വേ പിന്നോട്ട് പോകാൻ ഇടം തരുന്നു, ആ പിൻവാങ്ങൽ ഒരു സംഭവത്തിനിടയിൽ കണ്ടെത്തുന്നതിന് പകരം പിന്തുണയുള്ളതായി രേഖപ്പെടുത്തിയാൽ. രണ്ട് പിന്തുണയുള്ള പാതകൾ വിലകുറഞ്ഞ ഇൻഷുറൻസാണ്; രേഖപ്പെടുത്താത്ത മൂന്നാം പാത ഭാവിയിലെ ഒരു ടിക്കറ്റാണ്.
ഒരു ജോഡിയും മൂന്ന് ക്ലയന്റുകളെയും ഉൾക്കൊള്ളുന്നില്ലെങ്കിൽ സത്യസന്ധമായ ഓപ്ഷനുകൾ: ഒരു ക്ലയന്റ് ചേർക്കുക, ഒരു ഗേറ്റ്വേ പ്രൊഫൈൽ ചേർക്കുക, അല്ലെങ്കിൽ പിന്തുണയുള്ള പ്ലാറ്റ്ഫോം പട്ടിക ചുരുക്കുക. ഏറ്റവും ഉച്ചത്തിൽ പരാതിപ്പെടുന്ന പ്ലാറ്റ്ഫോമിൽ സർട്ടിഫിക്കറ്റ് സാധുത പരിശോധന ഓഫാക്കുന്നത് അവയിലൊന്നല്ല. ആ മാറ്റം ഒരു അനുയോജ്യത വിടവിനെ ഇടപെടൽ അപകടമാക്കി മാറ്റുന്നു, റോൾഔട്ടിലെ പിന്നീടുള്ള ഒരു ഘട്ടവും അത് പരിഹരിക്കുന്നില്ല.
കരാറിൽ നിന്ന് ഓരോ പ്ലാറ്റ്ഫോമിനും ഒരു ആർട്ടിഫാക്ട് നിർമ്മിക്കുക
Windows ഒരു VPNv2 പ്രൊഫൈൽ സ്വീകരിക്കുന്നു, MDM നൽകുന്നതോ Add-VpnConnection ഉം അതിന്റെ XML പേലോഡും ഉപയോഗിച്ച് ലോക്കലായി സൃഷ്ടിക്കുന്നതോ ആകാം. കടിക്കുന്ന ഭാഗങ്ങൾ സ്കോപ്പും വിശ്വാസവുമാണ്. ഡിവൈസ്-സ്കോപ്പ്ഡ് പ്രൊഫൈലും യൂസർ-സ്കോപ്പ്ഡ് പ്രൊഫൈലും വ്യത്യസ്ത സ്റ്റോറുകളിൽ ഇൻസ്റ്റാൾ ചെയ്യുന്നു, അതിനാൽ ക്ലയന്റിന് വേണ്ട സർട്ടിഫിക്കറ്റ് നിങ്ങൾ തിരഞ്ഞെടുത്ത സ്കോപ്പിന് ഒത്ത ഒരു സ്റ്റോറിൽ ഇരിക്കണം. ഈ ജോഡി തെറ്റിയാൽ പ്രൊഫൈൽ വൃത്തിയായി ഇംപോർട്ട് ചെയ്ത് ആദ്യ കണക്ഷനിൽ പരാജയപ്പെടും.
macOS മാനേജ്ഡ് VPN പേലോഡുള്ള ഒരു കോൺഫിഗറേഷൻ പ്രൊഫൈൽ സ്വീകരിക്കുന്നു, ഒപ്പിട്ട് MDM വഴി അയയ്ക്കുന്നതോ പൈലറ്റിനായി കൈകൊണ്ട് ഇൻസ്റ്റാൾ ചെയ്യുന്നതോ ആകാം. ഐഡന്റിറ്റിയും CA ശൃംഖലയും വെവ്വേറെ പേലോഡുകളായി സഞ്ചരിക്കുന്നു, അതുകൊണ്ടാണ് ഒരു പ്രൊഫൈൽ പരാതിയില്ലാതെ ഇൻസ്റ്റാൾ ചെയ്ത് കണക്ട് സമയത്ത് പരാജയപ്പെടാനാകുന്നത്. ഇൻസ്റ്റാൾ ഫലം മാത്രമല്ല, പേലോഡ് പട്ടിക പരിശോധിക്കുക.
Linux NetworkManager-ന്റെ പിന്നിലെ ബാക്കെൻഡിനെ ആശ്രയിക്കുന്നു, strongSwan ഉം NetworkManager പ്ലഗിനും വെവ്വേറെ പാക്കേജുകളാണ്. കണക്ഷൻ സവിശേഷതകൾ പൊതുവായ VPN കീകളല്ല, പ്ലഗിൻ-നിർദ്ദിഷ്ടമാണ്, അതിനാൽ മറ്റൊരു പ്ലഗിനിൽ നിന്ന് പകർത്തിയ കീ പിശകില്ലാതെ സേവ് ചെയ്ത് ആക്ടിവേഷനിൽ പരാജയപ്പെടാറുണ്ട്. പ്ലഗിൻ യഥാർത്ഥത്തിൽ പ്രവർത്തിക്കുന്നിടത്ത് ഉണ്ടോ എന്ന് സ്ഥിരീകരിക്കാൻ ഒരു ശുദ്ധ ഇമേജിൽ കണക്ഷൻ നിർമ്മിക്കുക.
മൂന്ന് ആർട്ടിഫാക്ടുകൾ ഫോർമാറ്റിൽ വ്യത്യസ്തമാണ്, എന്നാൽ ഓരോന്നും അതേ അഞ്ച് കരാർ വരികൾ എൻകോഡ് ചെയ്യുന്നു. ഒരു ആർട്ടിഫാക്ട് തീർന്നോ എന്നതിന്റെ പരിശോധന അതാണ്: ഓരോ വരിയും എവിടെയോ പ്രതിനിധാനം ചെയ്യപ്പെടുന്നു, വഴിയിൽ അധികമായി ഒന്നും കണ്ടുപിടിച്ചിട്ടില്ല.
| Platform | Artifact | Check before handoff |
|---|---|---|
| Windows | VPNv2 profile or Add-VpnConnection | Scope matches certificate store |
| macOS | Managed VPN payload plus certificate payload | Both payloads present in one profile |
| Linux | NetworkManager connection with strongSwan backend | Plugin package installed on the image |
ശുദ്ധമായ അക്കൗണ്ടിൽ റൂട്ടുകൾ, റെസോൾവർ, വീണ്ടും കണക്ട് എന്നിവ പരിശോധിക്കുക
കണക്ട് ചെയ്തു എന്നത് സ്വീകാര്യതാ പരിശോധനയല്ല. Windows-ൽ Get-VpnConnection പ്രൊഫൈൽ കാണിക്കുന്നു, route print സ്വകാര്യ പ്രിഫിക്സ് ടണൽ ഇന്റർഫേസിൽ എത്തിയോ എന്ന് കാണിക്കുന്നു. macOS-ൽ scutil --nc list സജീവ സേവനം സ്ഥിരീകരിക്കുന്നു, scutil --dns സിസ്റ്റം യഥാർത്ഥത്തിൽ ഉപയോഗിക്കുന്ന റെസോൾവർ ക്രമം കാണിക്കുന്നു.
Linux-ൽ nmcli connection show --active കണക്ഷൻ സജീവമാണെന്ന് തെളിയിക്കുന്നു, resolvectl status ഓരോ ലിങ്കിനും DNS കാണിക്കുന്നു. കണക്ഷൻ ഫയലിൽ ഉള്ള റെസോൾവർ പെർ-ലിങ്ക് ഔട്ട്പുട്ടിൽ ഇല്ലെങ്കിൽ സ്പ്ലിറ്റ് DNS പ്രയോഗിക്കുന്നില്ല എന്നർത്ഥം. നാമങ്ങൾ പരിഹരിക്കുന്നതും ടണലിലൂടെ പരിഹരിക്കുന്നതും തമ്മിലുള്ള വ്യത്യാസം അതാണ്, അത് അടുത്ത ഘട്ടം ഏത് സപ്പോർട്ട് ടീമിന്റേതെന്ന് മാറ്റുന്നു. കണക്ഷൻ വന്നതിന് ശേഷം മാത്രമല്ല, മുൻപും ശേഷവും പെർ-ലിങ്ക് ഔട്ട്പുട്ട് താരതമ്യം ചെയ്യുക.
കാഷ് ചെയ്ത ക്രെഡൻഷ്യലുകളും അഡ്മിൻ ഇൻസ്റ്റാൾ ചെയ്ത സർട്ടിഫിക്കറ്റും ഇല്ലാത്ത ഒരു പുതിയ അക്കൗണ്ടായി മുഴുവൻ പരിശോധനയും നടത്തുക. ശേഷം സസ്പെൻഡിനും റെസ്യൂമിനും ശേഷം ആവർത്തിക്കുക, ക്രെഡൻഷ്യൽ വീണ്ടും നൽകാൻ നിർബന്ധിച്ചതിന് ശേഷം ഒരിക്കൽ കൂടി. ആ രണ്ട് പരിവർത്തനങ്ങളാണ് ആദ്യ കണക്ഷൻ ഒരിക്കലും കാണിക്കാത്ത മിക്ക വീണ്ടും-കണക്ട് പരാജയങ്ങളും പുറത്തുകൊണ്ടുവരുന്നത്.
പാക്കേജിന് പതിപ്പ് നൽകുക, റോൾബാക്ക് പാത സൂക്ഷിക്കുക
ഓരോ പ്ലാറ്റ്ഫോം പാക്കേജിനും അത് നടപ്പാക്കുന്ന കരാർ റിവിഷൻ ടാഗ് ചെയ്യുക, നിങ്ങൾ അത് സ്വീകരിച്ച ക്ലയന്റ്, ഗേറ്റ്വേ പതിപ്പുകളും കുറിക്കുക. ക്ലയന്റ് അപ്ഡേറ്റിന് ശേഷം പെരുമാറ്റം മാറുമ്പോൾ, ടാഗ് ഊഹിക്കേണ്ട ഒരു ഫയലല്ല, വീണ്ടും പരിശോധിക്കേണ്ട ഒരു കരാറിനെ ചൂണ്ടുന്നു.
ഓരോ പ്ലാറ്റ്ഫോമിന്റെയും മുൻ പാക്കേജ് വീണ്ടെടുക്കാവുന്നതായി സൂക്ഷിക്കുക, അതിന്റെ നീക്കം ചെയ്യൽ കമാൻഡ് അതിന് അടുത്ത് എഴുതുക. Windows, macOS, Linux എന്നിവയിൽ VPN പ്രൊഫൈൽ അൺഇൻസ്റ്റാൾ ചെയ്യുന്നത് ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന്റെ പ്രതിബിംബമല്ല, വ്യത്യാസങ്ങൾ ഏറ്റവും മോശം സമയത്ത് പ്രത്യക്ഷപ്പെടുന്നു. ഒരു അനുസരണ ഉപകരണത്തിൽ ഒരിക്കൽ നീക്കം ചെയ്യൽ പരിശീലിക്കുക, അപ്പോൾ ആർക്കൈവ് പ്രതീക്ഷയല്ല പദ്ധതിയാകും.