Нэг VPN үйлчилгээ Windows, Mac, Linux-ийн ширээний компьютерүүдийг хамарч чадах уу?

Нэг багт гурван зөөврийн компьютер, гурван өөр VPN цэс, мөн Mac-аас бусад газарт холболт ажилладаг гэсэн тасалбар. Цэснүүд өөр байсан ч тэдгээр клиентийн ард байгаа төлөвлөгөө ижил байж болно. Тохирох ёстой зүйл нь ихэнх нэвтрүүлэлтийн таамаглаж байгаагаас нарийн: нэг гарцын таних тэмдэг, нэг итгэмжлэлийн төрөл, нэг маршрутын багц, нэг шийдэгчийн бодлого. Хэн нэгэн профайл экспортлохоос өмнө эдгээр дөрвийг бичээрэй, тэгвэл платформын ажил мөрдөн байцаалт биш шалгах хуудас болно.

Клиентийн файлаас биш, хандалтын гэрээнээс эхэл

Хандалтын гэрээ нь нийлүүлэгчийн консолыг нээхгүйгээр шалгагч шалгаж болох таван мөр юм. Энэ нь хүрэх боломжтой байх ёстой хувийн префиксүүд, шийдэгдэх ёстой дотоод нэрс, тэдгээрт хариу үйлдэл үзүүлэх шийдэгч, локал замд үлдэх зөвшөөрөлтэй урсгал, клиентийн харах ёстой гарцын гэрчилгээг нэрлэнэ. Нэвтрүүлэлтийн бусад бүх зүйл бол эдгээр мөрүүдийн файлын формат руу хийсэн орчуулга юм.

Оффисын жишээ хэлбэрийг тодорхой болгоно: програмын серверүүд 10.60.0.0/16 дотор, хувийн нэрс corp.example доор, дотоод шийдэгч 10.61.0.53 дээр, ердийн хөтлөлт нь төхөөрөмжийн аль хэдийн ашигладаг замд үлдэнэ. Сүүлийн зүйл нь клиентийн анхдагч биш бодлогын шийдвэр бөгөөд хэн ч өөрөөр хэлэхгүй бол хэд хэдэн клиент бүгдийг туннелээр илгээнэ. Гэрээг огноо, хариуцагчийн хамт бүртгээрэй, учир нь дараа нь туннель өөрчлөгдсөн үү эсвэл бодлого өөрчлөгдсөн үү гэдгийг тэр бүртгэл хэлж өгнө.

Өмгөөлж чадах нэг протокол, нэг баталгаажуулалтын хосыг сонго

Гурван платформ бүгд нэмэлт програм хангамжгүйгээр ажиллах ёстой үед гэрчилгээнд суурилсан гарцын баталгаажуулалт бүхий IKEv2 ба хэрэглэгчийн EAP нь ердийн сонголт бөгөөд Windows, macOS, NetworkManager тус бүр IKEv2 клиенттэй ирдэг. Асуудал нь IKEv2-г дэмжих нь боломжуудын багц биш шошгыг л тодорхойлдог. EAP аргууд, техник хангамжаар дэмжигдсэн түлхүүрүүд, гэрчилгээг бүртгэлтэй тааруулах, автомат дахин холболт нь платформ тус бүрээр хэрэгждэг. Гурвын хоёрт ажилладаг хослол хангалттай түгээмэл тул шалгах хүртэл тэгж үзэх хэрэгтэй.

Гарын авлага бичихээс өмнө зорилтот платформ бүр дээр хосыг шалга, дараа нь биш. EAP-MSCHAPv2 ба EAP-TLS хоёуланг нь санал болгодог гарц нь нөөц замд орон зай өгнө, хэрэв тэр нөөц зам нь дэмжигдсэн гэж баримтлагдсан бөгөөд ослын үеэр илрээгүй бол. Хоёр дэмжигдсэн зам бол хямд даатгал; баримтлагдаагүй гурав дахь зам бол ирээдүйн тасалбар.

Нэг хос гурван клиентийг бүгдийг нь хамарч чадахгүй үед шударга сонголтууд нь клиент нэмэх, гарц дээр профайл нэмэх эсвэл дэмжигдсэн платформын жагсаалтыг нарийсгах юм. Хамгийн чанга гомдоллодог платформ дээр гэрчилгээний шалгалтыг унтраах нь тэдгээрийн нэг биш. Тэр өөрчлөлт нийцтэй байдлын цоорхойг таслан сонсох эрсдэл болгох бөгөөд нэвтрүүлэлтийн дараагийн ямар ч алхам үүнийг засахгүй.

Гэрээнээс платформ бүрт нэг артефакт бүтээ

Windows нь VPNv2 профайлыг ашигладаг бөгөөд MDM-ээр хүргэх эсвэл Add-VpnConnection болон түүний XML ачааллаар локалаар үүсгэнэ. Хамгийн хэцүү нь хамрах хүрээ ба итгэл юм. Төхөөрөмжийн хамрах хүрээтэй профайл ба хэрэглэгчийн хамрах хүрээтэй профайл өөр санд суудаг тул клиентэд хэрэгтэй гэрчилгээ нь сонгосон хамрах хүрээтэй тохирох санд байх ёстой. Энэ хослолыг буруу хийвэл цэвэрхэн импортлогдоод эхний холболт дээр бүтэлгүйтдэг профайл үүснэ.

macOS нь удирдлагатай VPN ачааллыг агуулсан тохиргооны профайлыг ашигладаг бөгөөд гарын үсэг зурж MDM-ээр түгээх эсвэл туршилтад гараар суулгана. Таних тэмдэг ба CA гинж нь тусдаа ачааллаар явдаг тул профайл ямар ч гомдолгүй суусан ч холболтын мөчид бүтэлгүйтдэг. Ачааллын жагсаалтыг шалга, зөвхөн суулгацын үр дүнг биш.

Linux нь NetworkManager-ийн ард байгаа backend-ээс хамаардаг бөгөөд strongSwan болон NetworkManager залгаас нь тусдаа багц юм. Холболтын шинж чанарууд нь ерөнхий VPN түлхүүр биш залгаасын онцлог тул өөр залгаасаас хуулсан түлхүүр алдаагүй хадгалагдаад дараа нь идэвхжүүлэхэд бүтэлгүйтдэг. Залгаас нь үнэхээр ажиллах газарт байгаа эсэхийг батлахын тулд цэвэр имиж дээр холболт үүсгэ.

Гурван артефакт форматдаа ялгаатай ч тус бүр ижил таван гэрээний мөрийг кодчилдог. Артефакт дууссан эсэхийг шалгах тест нь энэ: мөр бүр хаа нэгтээ төлөөлөгдсөн бөгөөд замд нь илүүц зүйл зохиогоогүй.

Цэвэр бүртгэл дээр маршрут, шийдэгч, дахин холболтыг шалга

Холбогдсон байх нь хүлээн авалтын тест биш. Windows дээр Get-VpnConnection профайлыг харуулж, route print хувийн префикс туннелийн интерфейс дээр буусан эсэхийг харуулна. macOS дээр scutil --nc list идэвхтэй үйлчилгээг баталгаажуулж, scutil --dns системийн үнэхээр ашиглах шийдэгчийн дарааллыг харуулна.

Linux дээр nmcli connection show --active холболт идэвхтэйг баталж, resolvectl status холбоос бүрийн DNS-ийг харуулна. Холболтын файлд байгаа ч холбоос бүрийн гаралтад байхгүй шийдэгч нь хуваагдсан DNS хэрэгжихгүй байгааг илтгэнэ. Энэ бол нэрс шийдэгдэх ба нэрс туннелээр шийдэгдэх хоёрын ялгаа бөгөөд дараагийн алхмыг аль дэмжлэгийн баг авахыг өөрчилнө. Холбоос бүрийн гаралтыг холболт босохоос өмнө болон дараа нь харьцуул, зөвхөн дараа нь биш.

Бүх шалгалтыг кэшлэсэн итгэмжлэл, администраторын суулгасан гэрчилгээгүй шинэ бүртгэлээр гүйцэтгэ. Дараа нь түр зогсолт ба сэргээлтийн дараа давтаж, итгэмжлэлийг дахин оруулахад хүргэсний дараа дахин нэг удаа хий. Эдгээр хоёр шилжилт нь эхний холболтын хэзээ ч харуулдаггүй дахин холболтын алдааны ихэнхийг илрүүлдэг.

Багцад хувилбар өгч, буцаах замыг хадгал

Платформ бүрийн багцыг хэрэгжүүлж буй гэрээний засвараар тэмдэглэж, ямар клиент ба гарцын хувилбартай хүлээн авснаа тэмдэглэ. Клиентийн шинэчлэлтийн дараа зан төлөв өөрчлөгдвөл тэмдэг нь таамаглах файл биш, дахин шалгах гэрээг заана.

Платформ бүрийн өмнөх багцыг авах боломжтой байлгаж, хажууд нь устгах командыг бич. VPN профайлыг устгах нь Windows, macOS эсвэл Linux дээр суулгацын толь дүрс биш бөгөөд ялгаа нь хамгийн муу мөчид илэрдэг. Нөөц төхөөрөмж дээр устгалтыг нэг удаа давт, ингэснээр архив нь найдлага биш төлөвлөгөө болно.