Profil VPN khusus PCF: apa yang perlu ditanya sebelum berpindah

Seseorang menyerahkan fail .pcf dan komputer riba kepada anda lalu mengharapkan sambungan berfungsi tepat seperti bertahun-tahun lalu. Biasanya ia tidak akan, dan format fail jarang menjadi puncanya. PCF merekodkan parameter yang diperlukan Cisco VPN Client lama untuk mencapai satu konsentrator tertentu; ia tidak menyatakan apa-apa tentang sama ada klien semasa masih boleh bercakap dengan perkhidmatan itu. Fail itu ialah bukti tentang sambungan lalu, bukan kontrak untuk sambungan seterusnya.

Memisahkan bukti itu daripada keperluan ialah keseluruhan tugas. Apa yang pemilik gateway hutang kepada anda ialah gabungan klien, protokol, kaedah pengesahan dan format profil yang disokong, dan itu soalan yang berbeza daripada sama ada sesuatu aplikasi akan membuka profil lama anda.

Apa yang sebenarnya direkodkan oleh fail dalam tangan anda

PCF ialah profil kecil entri sambungan: satu hos atau pasangan primer dan sandaran, satu nama kumpulan, dan petunjuk tentang cara klien patut membentangkan kelayakan. Ia tidak mengandungi rundingan protokol, keputusan kepercayaan atau kenyataan tentang keupayaan gateway sekarang. Membacanya memberitahu anda ke mana klien lama mendail dan dengan nama kumpulan apa, dan bahagian itu benar-benar konteks berguna bagi sesiapa yang memiliki hujung kepala.

Apa yang tidak dapat diberitahunya ialah sama ada perkhidmatan di sebalik nama hos itu masih menerima protokol yang sama, atau sama ada akaun itu kekal dalam bentuk yang sepadan dengan petunjuk. Jawapan itu berada pada gateway dan dalam stor identiti, jadi tanyalah di sana sebelum membina.

Tiga keperluan yang kelihatan seperti satu

Keperluan pertama ialah keserasian wayar: klien mesti melaksanakan protokol akses jauh yang ditamatkan gateway. Kedua ialah pengesahan, di mana kaedah yang dituntut gateway — sijil, kelayakan kumpulan bersama MFA, atau EAP — mesti satu yang benar-benar boleh dilaksanakan oleh klien. Ketiga ialah dasar: terowong berpecah, DNS, kolam alamat dan sebarang pemeriksaan postur, semuanya dikonfigurasikan pada gateway dan dihantar kepada klien dalam profil yang mesti diterimanya.

PCF memberikan bukti lemah tentang keperluan kedua dan hampir tiada tentang dua yang lain. Ciri import mengaburkan sempadan lagi: klien yang memetakan medan lama ke formatnya sendiri boleh berjaya semasa import tetapi gagal bersambung, dan sebaliknya juga mungkin.

Lima soalan yang menghasilkan jawapan berguna

Hantar soalan dan bukan fail. Gabungan perkhidmatan akses jauh dan klien mana yang disokong hari ini; protokol apa yang dibentangkan perkhidmatan itu kepada internet; kaedah pengesahan dan laluan pendaftaran mana yang terpakai; profil, sauh kepercayaan dan dasar kumpulan atau MFA mana yang berkaitan; dan bahagian mana yang berbeza daripada sambungan lama. Setiap jawapan memetakan kepada salah satu daripada tiga keperluan di atas.

Senarai itu menukar perbincangan tentang format fail kepada keputusan tentang sokongan, dan biasanya mengembalikan pautan dokumentasi serta pemilik bernama dan bukannya angkat bahu. Ia juga memberitahu lebih awal sama ada migrasi itu profil baharu terhadap perkhidmatan sedia ada, atau perubahan gateway yang belum dijadualkan sesiapa. Tanya secara bertulis, kerana jawapannya menjadi kriteria penerimaan bagi apa yang anda bina seterusnya. Simpan juga nama kumpulan lama dalam tiket, kerana itu selalunya cara terpantas bagi pengendali mencari dasar yang sepadan.

Menukar nama tidak menterjemah apa-apa

Cisco Secure Client mendokumenkan profil XML dengan pilihan protokolnya sendiri, jadi menukar nama .pcf kepada .xml tidak menghasilkan XML mahupun tetapan. Menampal nama hos dalam fail OpenVPN tidak membuat gateway IPsec bercakap OpenVPN, dan klien IKEv2 asli tidak menjadi serasi dengan perkhidmatan lebih lama hanya kerana kedua-duanya digambarkan sebagai IPsec.

Setiap langkah itu menukar label dan membiarkan tingkah laku pada wayar tidak tersentuh, itulah sebabnya kegagalan yang terhasil kelihatan tidak berkaitan dengan suntingan. Apabila gateway tidak dapat menawarkan apa yang dilaksanakan klien baharu, pilihan jujurnya ialah klien yang masih bercakap protokol lama atau migrasi gateway yang dirancang. Meneka antara keduanya mengambil masa berminggu-minggu dan tidak mengajar apa-apa.

Layan profil lama sebagai bahan sensitif

Profil lama boleh mengandungi nama hos dalaman, nama kumpulan dan kadangkala bahan kelayakan tersimpan, iaitu betul-betul bentuk benda yang dikumpul penukar awam dan benang forum. Minta pentadbir membaca medan melalui saluran yang diluluskan dan bukannya memuat naik fail itu ke mana-mana.

Lawan godaan untuk menggantung migrasi pada klien beta, sistem tetamu yang tidak disokong atau pengesahan lebih lemah yang dipilih untuk mengekalkan klien usang hidup. Harga dan halaman muat turun lama bukan bukti yang lebih baik daripada PCF itu sendiri, kerana ia menggambarkan hak dari zaman lain dan bukan kontrak yang anda perlukan sekarang.