Хэрэглэгчийн анхны VPN холболтын өмнө юуг урьдчилан тохируулах вэ

Анхны VPN холболт туннель дээр ховор бүтэлгүйтдэг. Энэ нь энгийн хэрэглэгч удирдлагагүй сүлжээнд гэрчилгээг аль хэдийн суулгасан хүний бичсэн зааврыг дагах үед бүтэлгүйтдэг. Профайл, итгэлцлийн гинжин хэлхээ, итгэмжлэл нь тохиргоо бөгөөд гурвыг нь хэрэглэгч оролцохоос өмнө хүргэж болно. Тэр хэрэглэгчид дотроо шийдвэргүй дөрвөн үйлдэл үлдэх ёстой. Шилжүүлэхэд үлдээсэн нэмэлт алхам бүр хэн нэгэн харилцан ярианы цонхыг чанга уншиж эхэлдэг дэмжлэгийн дуудлага болдог.

Холболтын профайл үнэндээ юу агуулдаг вэ

VPN профайл нь товчлол ч, хавчуурга ч биш. Энэ нь үйлдлийн системийн холболтын санд байдаг нэрт объект бөгөөд серверийн хаяг, туннелийн төрөл, баталгаажуулалтын арга, ихэвчлэн хэзээ холбогдохыг тодорхойлдог маршрут, DNS дагавар, триггерийн дүрмийг агуулна. Windows дээр эдгээр талбар нь VPNv2 тохиргооны үйлчилгээ үзүүлэгчийн зангилаатай тохирдог тул нэг профайл Intune, Configuration Manager, бэлтгэлийн багц эсвэл гараар импортолсон XML файлаар ирж болно.

Клиент энэ объектыг тогтмол дарааллаар хэрэглэдэг: серверийн гэрчилгээг итгэмжлэгдсэн үндэстэй харьцуулан шалгаж, туннелийн талаар хэлэлцээд, зөвхөн дараа нь аппликейшн сүлжээг харахаас өмнө маршрутлалт ба нэрийн шийдвэрийг хэрэглэдэг. Энэ дараалал нь холболт ажиллаж байна гэж хэлдэг боловч юу ч ачаалагдахгүй байгаа ихэнх мэдээллийг тайлбарладаг: баталгаажуулалт амжилттай болж, үнэндээ бүтэлгүйтсэн нь DNS эсвэл маршрутын жагсаалт байсан. Профайлыг бие даасан унтраалгын багц биш, дараалалтай нэг объект гэж уншаарай. Дутуу итгэлцлийн үндэс эхний алхамд, ямар ч итгэмжлэл санал болгохоос өмнө бүтэлгүйтдэг тул нэвтрэх хүсэлтийн оронд ерөнхий алдаа өгдөг.

Итгэлцлийн материал бол гараар нууцаар оруулдаг хамгийн түгээмэл талбар юм. Гарцыг гарын үсэг зурдаг CA гэрчилгээ нь анхны оролдлогын өмнө байх ёстой бөгөөд серверийн нэрийн шалгалт тохирох нэртэйгээр асаалттай байх ёстой; туршилт давахын тулд шалгалтыг унтраах нь баталгаажуулалтын асуудлыг ямар ч хэрэглэгч илрүүлж чадахгүй чимээгүй таслан саатуулалт болгон хувиргадаг.

Хэрэглэгчид хэзээ ч гаргах ёсгүй дөрвөн сонголт

Протокол болон туннелийн төрөл эхэнд: платформ тус бүрд нэг дэмжигдсэн хослолыг сонгож, гарцын талыг баримтжуулаарай, учир нь танил брэндийн нэр нийцлийн мэдэгдэл биш юм. Дараа нь төгсгөлийн цэг: нийтэд шийдэгддэг, гарцын танилцуулсан гэрчилгээтэй тохирох нэг хост нэр. Баталгаажуулалт нь таних тэмдгийн системд хамаарна, гэрчилгээ ч бай, хоёр дахь хүчин зүйлтэй хэрэглэгчийн нэр ч бай, хоёулаа ч бай. Эдгээрийн аль нь ч хэрэглэгчийн сонголт биш бөгөөд аль нь ч зааварт асуулт хэлбэрээр гарч болохгүй.

Дөрөв дэх сонголт бол хамрах хүрээ: бүрэн туннель эсвэл хуваагдсан туннель, мөн дотор нь ямар угтвар, DNS дагавар явдаг. Дотоод дагаваргүй хуваагдсан туннель нь нэрийн шийдвэрийг орон нутгийн сүлжээний санал болгосон аливаа шийдэгч рүү алдагдуулдаг бол орон нутгийн нөөцийн төлөвлөгөөгүй бүрэн туннель нь принтер болон олзлогдсон порталуудыг эвддэг. Хоёулаа хэрэглэгчид харагдах нөлөөтэй администраторын шийдвэр тул хэрэглэгч эдгээрийг аль хэдийн шийдэгдсэн байдлаар авах ёстой.

Холболтын нэрийг уйтгартай, тогтвортой байлгаарай. Хэрэглэгчид үүнийг дэмжлэгт чанга уншиж, клиентийн жагсаалтаас хайж, нууц үг шинэчлэх хооронд санаж байдаг; шилжилтийн дунд нэрийг нь өөрчлөх нь VPN ажиллаж байгаа эсэхээс хамааралгүй дэмжлэгийн өсөлт үүсгэдэг.

Таних тэмдгийг хүн тус бүр эсвэл төхөөрөмж тус бүрд хүргээрэй

Профайл нь нийтэд нээлттэй, хувийн түлхүүр нь тийм биш. Нийтлэг байршуулалтын алдаа нь нэг ажиллаж байгаа профайлыг гэрчилгээтэй нь хамт экспортолж, файлыг гар дамжуулан өгөх бөгөөд энэ нь зөөврийн компьютер бүрийг нэг таних тэмдгийн хуулбар болгож, хүчингүй болгохыг бүх-эсвэл-юу ч биш шийдвэр болгоно. Үүний оронд итгэмжлэлүүдийг дэмжигдсэн процессоор бүртгүүлээрэй: удирдлагын сувгаас төхөөрөмж тус бүрийн гэрчилгээ эсвэл таних тэмдгийн үйлчилгээ үзүүлэгчээс хэрэглэгч тус бүрийн итгэмжлэл.

Төхөөрөмжийн туннель болон хэрэглэгчийн туннель өөр өөр үед баталгаажуулагддаг бөгөөд энэ ялгаа нь ямар итгэмжлэл хэрэгтэйг тодорхойлдог. Нэвтрэхээс өмнө холбогддог төхөөрөмжийн туннельд машины гэрчилгээ болон системд боломжтой профайл хэрэгтэй. Нэвтэрсний дараа эхэлдэг хэрэглэгчийн туннель хэрэглэгчийн өөрийн итгэмжлэлийг ашиглаж болох бөгөөд администраторын эрх шаардаж болохгүй. Хэн нэгний өглөөнөөс нэг товшилтыг арилгахын тулд машины түвшний сүлжээний хандалт нэмэх нь муу хэлцэл, учир нь хараа хяналтгүй төхөөрөмж хаа хүрч чадахыг өргөжүүлдэг.

Бүртгэл нь сэргээх замыг шийддэг газар ч мөн адил. Гэрчилгээ шинэчлэх эсвэл нууц үг солих нь туннель унасан үед төхөөрөмжид хүрэх ёстой, тул бэлтгэл, таних тэмдгийн үйлчилгээ үзүүлэгч, гарц нь энэ хэрхэн болохыг зөвшилцөх ёстой; хэрэв профайлыг засах цорын ганц зам нь тухайн профайлын өгдөг туннелээр дамждаг бол түлхүүр хайрцаг дотор түгжигдсэн байна.

Хүргэх сувгийг клиентэд тааруулаарай

Бүрэн эрхт болон гуравдагч талын клиентүүд өөр өөрөөр хүргэгддэг. Windows профайлыг Intune эсвэл Configuration Manager-ээр дамжуулан VPNv2 ProfileXML хэлбэрээр хүргэж болох боловч зангилаа бүр удирдлагын гадаргуу бүрт нээлттэй байдаггүй, маршрутлалт, DNS, триггерийн тохиргоо нь хэрэгсэл болон Windows хувилбараас хамаарч өөр өөр байна. Тэг хүрэлцээтэй байршуулалт амлахын өмнө аль талбарыг байршуулж болохыг баталгаажуулаарай, учир нь профайлын сонголтын лавлагаа зарим хүргэх замд одоо ч тохируулж чадахгүй тохиргоог баримтжуулдаг.

Нийлүүлэгчийн клиентүүд хоёр дахь давхаргыг нэмдэг, учир нь бинари, профайл, толгой зангилааны бодлого нь тусдаа артефактууд юм. Жишээлбэл, Cisco Secure Client нь багц болон түүний профайлыг урьдчилан байршуулахыг дэмждэг бөгөөд клиентийн хувилбарыг гарцын тохиргоотой уялдуулах ёстой; зөвхөн багцыг суулгахад хэрэглэгч шидтэний дотор үлддэг.

Аль сувгийг сонгосон ч профайлд нэг үнэний эх сурвалж байлгаарай. Хуучин багц дараагийн шалгалтад дарж бичдэг зассан профайл нь давтагдах тохиолдол бөгөөд тогтвортой шийдэл нь машин бүр дээр гараар засварлах биш, хувилбарласан тохиргоо юм.

Шилжүүлгийг шинэ хэрэглэгчээр шалгаад, дараа нь сэргээлтийг шалгаарай

Хэзээ ч холбогдоогүй төхөөрөмж дээр энгийн бүртгэлээр, администраторын хадгалсан сесс эсвэл урьдчилан бүртгэсэн гэрчилгээгүйгээр туршилт хийгээрэй. Профайл жагсаалтад гарч байгаа, нэвтрэх хүсэлт заавартай тохирч байгаа, нэрт дотоод нөөц нээгдэж байгааг баталгаажуулаад, холбогдсон дүрс дээр зогсохгүй нэрийн шийдэл болон маршрутлалтын хамрах хүрээг шалгаарай.

Төхөөрөмжийн профайлын сангаас асуугаарай, туршилт сэтгэгдэл биш нотолгоо гаргах ёстой.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Дараа нь хэрэглэгчдийн үнэхээр тулгардаг үйл явдлуудыг туулаарай: албадан нууц үг шинэчлэлт, шинэчлэгдсэн гэрчилгээ, түлхэгдсэн клиентийн шинэчлэлт, туршилтад хэн ч өмнө нь ашиглаагүй сүлжээ. Тус бүр нь ажиллах эсвэл зааварт тайлбарласан байдлаар бүтэлгүйтэх ёстой. VPN портыг хаадаг сүлжээг ч туршаарай, учир нь зочид буудлын Wi-Fi дээрх анхны оролдлого бол гэртээ гарсан амжилт тус болохоо болих газар юм. Үр дүн бүрийн хажууд клиентийн хувилбар болон OS-ийн бүтээцийг бичээрэй, дараагийн тайлан тэдэнгүйгээр ирнэ.

Хэрэглэгчид чиглэсэн шилжүүлгийг дөрвөн мөрөнд байлгаарай: холболтын нэр, хүлээгдэж буй нэвтрэлт, амжилтыг нотлох нөөц, алдааны текстийг хаашаа илгээх. Гэмтлийг харуулахын тулд хэнээс ч нууц үг эсвэл экспортолсон түлхүүр шаардаж болохгүй. Архитектур, профайлын дотоод хэсэг, сэргээх журам нь администраторын гарын авлагад хамаарах бөгөөд тэдгээрийг туршсан клиентийн хувилбарын хажууд хадгална.