X'għandu jiġi kkonfigurat minn qabel qabel l-ewwel konnessjoni VPN ta' utent

L-ewwel konnessjoni VPN rari tfalli fit-tunnel. Tfalli meta utent ordinarju, fuq netwerk mhux amministrat, isegwi struzzjonijiet miktuba minn xi ħadd li kien diġà installa ċ-ċertifikat. Il-profil, il-katina ta' fiduċja u l-kredenzjali huma konfigurazzjoni, u t-tlieta jistgħu jiġu kkonsenjati qabel ma l-utent jiġi involut. Dak li jibqa' għal dak l-utent għandu jkun erba' azzjonijiet mingħajr deċiżjonijiet ġewwa fihom. Kull pass żejjed li tħalli fil-konsenja jsir telefonata ta' appoġġ li tibda b'xi ħadd jaqra kaxxa ta' djalogu b'leħen għoli.

X'tġorr tassew profil tal-konnessjoni

Profil VPN mhuwiex shortcut jew bookmark. Huwa oġġett bl-isem fil-maħżen tal-konnessjonijiet tas-sistema operattiva, li jżomm l-indirizz tas-server, it-tip ta' tunnel, il-metodu ta' awtentikazzjoni u spiss ir-rotot, is-suffissi DNS u r-regoli ta' attivazzjoni li jiddeċiedu meta jikkonnettja. Fuq Windows dawk l-oqsma jimmappjaw għan-nodi tal-fornitur tas-servizz ta' konfigurazzjoni VPNv2, u għalhekk profil wieħed jista' jasal permezz ta' Intune, Configuration Manager, pakkett ta' provvediment jew fajl XML importat bl-idejn.

Il-klijent japplika dak l-oġġett fi ordni fissa: jivvalida ċ-ċertifikat tas-server kontra għeruq fiduċjużi, jinnegozja t-tunnel, u biss wara japplika r-routing u r-riżoluzzjoni tal-ismijiet qabel ma applikazzjoni tara netwerk. Dak l-ordni jispjega l-biċċa l-kbira tar-rapporti ta' konnessjoni li tgħid li hi attiva waqt li xejn ma jitgħabba: l-awtentikazzjoni rnexxiet u dak li verament falla huwa d-DNS jew il-lista tar-rotot. Aqra l-profil bħala oġġett wieħed b'sekwenza, mhux bħala sett ta' swiċċijiet indipendenti. Għerq ta' fiduċja nieqes ifalli fl-ewwel pass, qabel ma tiġi offruta kwalunkwe kredenzjali, u għalhekk jipproduċi żball ġeneriku minflok talba ta' dħul.

Il-materjal ta' fiduċja huwa l-qasam li l-aktar jiġi kkuntrabandat bl-idejn. Iċ-ċertifikat CA li jiffirma l-gateway irid ikun preżenti qabel l-ewwel tentattiv, u l-validazzjoni tal-isem tas-server trid tibqa' mixgħula b'isem li jaqbel; it-tifi tal-validazzjoni biex jgħaddi test ibiddel problema ta' awtentikazzjoni fi interċettazzjoni siekta li ebda utent ma jista' jsibha.

L-erba' għażliet li l-utenti qatt m'għandhom jagħmlu

Il-protokoll u t-tip ta' tunnel jiġu l-ewwel: agħżel kombinazzjoni appoġġjata waħda għal kull pjattaforma u iddokumenta n-naħa tal-gateway, għax isem ta' marka familjari mhuwiex dikjarazzjoni ta' kompatibilità. Imbagħad il-punt tat-tmiem: isem ta' host wieħed li jiġi riżolt pubblikament u jaqbel maċ-ċertifikat li l-gateway jippreżenta. L-awtentikazzjoni tappartjeni lis-sistema tal-identità, kemm jekk ċertifikat, isem tal-utent b'tieni fattur, jew it-tnejn. Xejn minn dawn mhuwa preferenza tal-utent, u xejn m'għandu jidher bħala mistoqsija fl-istruzzjonijiet.

Ir-raba' għażla hija l-ambitu: tunnel sħiħ jew tunnel maqsum, u liema prefissi u suffissi DNS jivvjaġġaw ġewwa fih. Tunnel maqsum mingħajr suffissi interni jnixxi r-riżoluzzjoni tal-ismijiet lejn kwalunkwe riżolutur li joffri n-netwerk lokali, u tunnel sħiħ mingħajr pjan ta' riżorsi lokali jkisser printers u portali maqbuda. It-tnejn huma deċiżjonijiet tal-amministratur b'effetti viżibbli għall-utent, u għalhekk eżattament l-utent għandu jirċevihom diġà solvuti.

Żomm l-isem tal-konnessjoni boring u stabbli. L-utenti jaqrawh b'leħen għoli lill-appoġġ, ifittxuh f'lista tal-klijent u jiftakruh bejn reset tal-password; milli tibdillu isem f'nofs migrazzjoni toħloq quċċata ta' appoġġ li m'għandhiex x'taqsam ma' jekk il-VPN taħdimx.

Ikkonsenja l-identità għal kull persuna jew għal kull apparat

Il-profil huwa pubbliku u l-muftieħ privat mhuwiex. Żball komuni fl-implimentazzjoni huwa li tesporta profil wieħed li jaħdem flimkien maċ-ċertifikat tiegħu u tgħaddi l-fajl minn id għal id, li jagħmel kull laptop klonu ta' identità waħda u jbiddel l-irtirar f'deċiżjoni kollox-jew-xejn. Minflok, irreġistra l-kredenzjali permezz tal-proċess appoġġjat: ċertifikat għal kull apparat mill-kanal tal-amministrazzjoni, jew kredenzjali għal kull utent mill-fornitur tal-identità.

It-tunnels tal-apparat u t-tunnels tal-utent jawtentikaw fi żminijiet differenti, u dik id-differenza tiddetermina liema kredenzjali għandek bżonn. Tunnel tal-apparat li jikkonnettja qabel id-dħul jeħtieġ ċertifikat tal-magna u profil disponibbli għas-sistema. Tunnel tal-utent li jibda wara d-dħul jista' juża l-kredenzjali tal-utent stess u m'għandux jeħtieġ drittijiet tal-amministratur. Li żżid aċċess għan-netwerk fil-livell tal-magna biss biex tneħħi klikk wieħed minn filgħodu ta' xi ħadd hija skambju ħażin, għax twessa' sa fejn jista' jasal apparat mingħajr sorveljanza.

Ir-reġistrazzjoni hija wkoll fejn tiġi deċiża t-triq tal-irkupru. Tiġdid taċ-ċertifikat jew bidla tal-password trid tasal għall-apparat waqt li t-tunnel ikun niżel, għalhekk il-provvediment, il-fornitur tal-identità u l-gateway iridu jaqblu kif dan iseħħ; jekk l-uniku mod kif isewwi profil huwa permezz tat-tunnel li dak il-profil jipprovdi, il-muftieħ huwa msakkar ġewwa l-kaxxa.

Qabbel il-kanal tal-konsenja mal-klijent

Il-klijenti nattivi u dawk ta' partijiet terzi jiġu kkonsenjati b'modi differenti. Il-profili Windows jistgħu jiġu kkonsenjati bħala VPNv2 ProfileXML permezz ta' Intune jew Configuration Manager, iżda mhux kull nod huwa espost f'kull wiċċ tal-amministrazzjoni, u l-impostazzjonijiet tar-routing, DNS u attivazzjoni jvarjaw skont l-għodda u l-verżjoni ta' Windows. Ikkonferma liema qasam jista' jiġi implimentat qabel ma twegħed implimentazzjoni bla mess, għax ir-referenza tal-għażliet tal-profil tiddokumenta impostazzjonijiet li xi toroq tal-konsenja għadhom ma jistgħux jistabbilixxu.

Il-klijenti tal-fornitur iżidu t-tieni saff, għax il-binarju, il-profil u l-politika tal-headend huma artefatti separati. Cisco Secure Client, pereżempju, jappoġġja l-implimentazzjoni bil-quddiem kemm tal-pakkett kif ukoll tal-profil tiegħu, u l-verżjoni tal-klijent trid tiġi kkoordinata mal-konfigurazzjoni tal-gateway; milli tinstalla l-pakkett biss jħalli lill-utent ġewwa wizard.

Liema kanal tagħżel, żomm sors wieħed ta' verità għall-profil. Profil imsewwi li pakkett eqdem jikteb fuqu fl-ewwel verifika hija inċident rikorrenti, u s-soluzzjoni dejjiema hija konfigurazzjoni bil-verżjonijiet u mhux editjar bl-idejn fuq kull magna.

Ipprova l-konsenja bħala utent ġdid, imbagħad ipprova l-irkupru

Agħmel prova b'kont ordinarju fuq apparat li qatt ma kkonnettja, mingħajr is-sessjoni salvata tal-amministratur jew ċertifikat irreġistrat minn qabel. Ikkonferma li l-profil jidher fil-lista, li t-talba tad-dħul taqbel mal-istruzzjonijiet u li riżorsa interna bl-isem tinfetaħ, imbagħad iċċekkja r-riżoluzzjoni tal-ismijiet u l-ambitu tar-routing minflok tieqaf fuq ikona konnessa.

Staqsi lill-maħżen tal-profili tal-apparat biex it-test jipproduċi provi u mhux impressjoni.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Imbagħad għaddi mill-ġrajjiet li l-utenti verament jiltaqgħu magħhom: reset sfurzat tal-password, ċertifikat imġedded, aġġornament tal-klijent imbuttat u netwerk li ħadd fil-prova qatt ma uża qabel. Kull wieħed għandu jew jaħdem jew ifalli kif jiddeskrivu l-istruzzjonijiet. Ipprova wkoll netwerk li jimblokka l-port tal-VPN, għax l-ewwel tentattiv fuq Wi-Fi ta' lukanda huwa fejn suċċess id-dar jieqaf jgħin. Innota l-verżjoni tal-klijent u l-build tas-sistema ħdejn kull riżultat, għax ir-rapport li jmiss se jasal mingħajrhom.

Żomm il-konsenja lill-utent f'erba' linji: l-isem tal-konnessjoni, id-dħul mistenni, ir-riżorsa li turi s-suċċess u fejn jintbagħat it-test tal-iżball. Ħadd m'għandu jiġi mitlub password jew muftieħ esportat biex juri falliment. L-arkitettura, l-intern tal-profil u l-proċedura tal-irkupru jappartjenu lir-runbook tal-amministratur, arkivjati ħdejn il-verżjoni tal-klijent li biha ġew ittestjati.