Apa yang perlu dikonfigurasikan sebelum sambungan VPN pertama pengguna

Sambungan VPN pertama jarang gagal pada terowong. Ia gagal apabila pengguna biasa, pada rangkaian tidak terurus, mengikut arahan yang ditulis oleh seseorang yang sudah memasang sijil itu. Profil, rantaian kepercayaan dan kelayakan ialah konfigurasi, dan ketiga-tiganya boleh dihantar sebelum pengguna terlibat. Apa yang tinggal untuk pengguna itu sepatutnya empat tindakan tanpa keputusan di dalamnya. Setiap langkah tambahan yang anda tinggalkan dalam penyerahan menjadi panggilan sokongan yang bermula dengan seseorang membaca kotak dialog dengan kuat.

Apa yang sebenarnya dibawa oleh profil sambungan

Profil VPN bukan pintasan atau penanda buku. Ia objek bernama dalam stor sambungan sistem pengendalian, yang memegang alamat pelayan, jenis terowong, kaedah pengesahan dan selalunya laluan, akhiran DNS serta peraturan pencetus yang menentukan bila ia bersambung. Pada Windows medan itu memetakan kepada nod pembekal perkhidmatan konfigurasi VPNv2, sebab itu satu profil boleh tiba melalui Intune, Configuration Manager, pakej peruntukan atau fail XML yang diimport secara manual.

Klien menggunakan objek itu dalam susunan tetap: ia mengesahkan sijil pelayan terhadap akar dipercayai, berunding terowong, dan hanya selepas itu menggunakan penghalaan dan penyelesaian nama sebelum aplikasi melihat rangkaian. Susunan itu menjelaskan kebanyakan laporan sambungan yang mendakwa ia hidup sedangkan tiada apa dimuatkan: pengesahan berjaya dan DNS atau senarai laluan yang sebenarnya gagal. Baca profil sebagai satu objek dengan jujukan, bukan sebagai set suis berasingan. Akar kepercayaan yang hilang gagal pada langkah pertama, sebelum sebarang kelayakan ditawarkan, sebab itu ia menghasilkan ralat umum dan bukan gesaan log masuk.

Bahan kepercayaan ialah medan yang paling kerap diseludup masuk dengan tangan. Sijil CA yang menandatangani get laluan mesti ada sebelum percubaan pertama, dan pengesahan nama pelayan mesti kekal hidup dengan nama yang sepadan; mematikan pengesahan supaya ujian lulus menukar masalah pengesahan menjadi penyadapan senyap yang tiada pengguna dapat mengesannya.

Empat pilihan yang tidak sepatutnya dibuat oleh pengguna

Protokol dan jenis terowong datang dahulu: pilih satu kombinasi yang disokong bagi setiap platform dan dokumentasikan bahagian get laluan, kerana nama jenama yang biasa bukan pernyataan keserasian. Seterusnya titik akhir: satu nama hos yang diselesaikan secara awam dan sepadan dengan sijil yang dikemukakan get laluan. Pengesahan tergolong dalam sistem identiti, sama ada sijil, nama pengguna dengan faktor kedua, atau kedua-duanya. Tiada satu pun daripada ini keutamaan pengguna, dan tiada satu pun patut muncul sebagai soalan dalam arahan.

Pilihan keempat ialah skop: terowong penuh atau terowong terpisah, dan awalan serta akhiran DNS mana yang bergerak di dalamnya. Terowong terpisah tanpa akhiran dalaman membocorkan penyelesaian nama kepada mana-mana penyelesai yang ditawarkan rangkaian setempat, dan terowong penuh tanpa pelan sumber setempat merosakkan pencetak dan portal tawanan. Kedua-duanya keputusan pentadbir dengan kesan yang kelihatan kepada pengguna, dan sebab itulah pengguna patut menerimanya sudah diputuskan.

Kekalkan nama sambungan membosankan dan stabil. Pengguna membacanya kuat kepada sokongan, mencarinya dalam senarai klien dan mengingatnya antara set semula kata laluan; menamakannya semula di tengah migrasi mencipta lonjakan sokongan yang tiada kaitan dengan sama ada VPN berfungsi.

Hantar identiti setiap orang atau setiap peranti

Profil bersifat awam dan kunci peribadi tidak. Kesilapan pelaksanaan yang biasa ialah mengeksport satu profil yang berfungsi bersama sijilnya dan menyebarkan fail itu, yang menjadikan setiap komputer riba klon satu identiti dan menukar pembatalan menjadi keputusan semua-atau-tiada. Daftarkan kelayakan melalui proses yang disokong: sijil setiap peranti daripada saluran pengurusan, atau kelayakan setiap pengguna daripada pembekal identiti.

Terowong peranti dan terowong pengguna mengesahkan pada saat berbeza, dan perbezaan itu menentukan kelayakan mana yang anda perlukan. Terowong peranti yang bersambung sebelum log masuk memerlukan sijil mesin dan profil yang tersedia untuk sistem. Terowong pengguna yang bermula selepas log masuk boleh menggunakan kelayakan pengguna sendiri dan tidak sepatutnya menuntut hak pentadbir. Menambah akses rangkaian peringkat mesin hanya untuk membuang satu klik daripada pagi seseorang ialah pertukaran buruk, kerana ia meluaskan apa yang boleh dicapai peranti tanpa pengawasan.

Pendaftaran juga tempat laluan pemulihan diputuskan. Pembaharuan sijil atau perubahan kata laluan mesti sampai ke peranti semasa terowong turun, jadi peruntukan, pembekal identiti dan get laluan mesti bersetuju bagaimana ia berlaku; jika satu-satunya cara membaiki profil ialah melalui terowong yang profil itu sediakan, kuncinya terkunci di dalam kotak.

Padankan saluran penghantaran dengan klien

Klien asli dan pihak ketiga dihantar secara berbeza. Profil Windows boleh dihantar sebagai VPNv2 ProfileXML melalui Intune atau Configuration Manager, tetapi bukan setiap nod terdedah pada setiap permukaan pengurusan, dan tetapan penghalaan, DNS serta pencetus berbeza mengikut alat dan versi Windows. Sahkan medan mana yang boleh dilaksanakan sebelum menjanjikan pelaksanaan tanpa sentuh, kerana rujukan pilihan profil mendokumentasikan tetapan yang sesetengah laluan penghantaran masih tidak dapat menetapkan.

Klien vendor menambah lapisan kedua, kerana binari, profil dan dasar hujung kepala ialah artifak berasingan. Cisco Secure Client, contohnya, menyokong pra-pelaksanaan kedua-dua pakej dan profilnya, dan versi klien mesti diselaraskan dengan konfigurasi get laluan; memasang pakej sahaja meninggalkan pengguna di dalam wizard.

Saluran mana pun yang anda pilih, pegang satu sumber kebenaran untuk profil. Profil yang dibaiki yang ditimpa pakej lebih lama pada semakan seterusnya ialah insiden berulang, dan pembaikan tahan lama ialah konfigurasi berversi dan bukan suntingan manual pada setiap mesin.

Uji penyerahan sebagai pengguna baharu, kemudian uji pemulihan

Lakukan perintis dengan akaun biasa pada peranti yang tidak pernah bersambung, tanpa sesi tersimpan pentadbir atau sijil yang didaftarkan lebih awal. Sahkan profil muncul dalam senarai, gesaan log masuk sepadan dengan arahan dan sumber dalaman bernama terbuka, kemudian periksa penyelesaian nama dan skop penghalaan dan bukan berhenti pada ikon bersambung.

Tanya stor profil peranti supaya ujian menghasilkan bukti dan bukan tanggapan.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Kemudian lalui peristiwa yang benar-benar ditemui pengguna: set semula kata laluan paksa, sijil diperbaharui, kemas kini klien ditolak dan rangkaian yang tiada siapa dalam perintis pernah gunakan. Setiap satu patut berfungsi atau gagal seperti yang diterangkan arahan. Cuba juga rangkaian yang menyekat port VPN, kerana percubaan pertama di Wi-Fi hotel ialah tempat kejayaan di rumah berhenti membantu. Catat versi klien dan binaan OS di sebelah setiap hasil, kerana laporan seterusnya akan tiba tanpanya.

Kekalkan penyerahan kepada pengguna dalam empat baris: nama sambungan, log masuk yang dijangka, sumber yang membuktikan kejayaan dan ke mana teks ralat dihantar. Tiada sesiapa patut diminta kata laluan atau kunci yang dieksport untuk menunjukkan kegagalan. Seni bina, dalaman profil dan prosedur pemulihan tergolong dalam buku panduan pentadbir, difailkan di sebelah versi klien yang dengannya ia diuji.