Kun-PCF VPN-profil: hva du bør spørre om før du migrerer

Noen gir deg en .pcf-fil og en bærbar PC og forventer at tilkoblingen fungerer nøyaktig som for år siden. Vanligvis gjør den ikke det, og filformatet er sjelden årsaken. En PCF registrerer parameterne en gammel Cisco VPN Client trengte for å nå én bestemt konsentrator; den sier ingenting om hvorvidt en dagens klient fortsatt kan snakke med den tjenesten. Filen er bevis på en tidligere tilkobling, ikke en kontrakt for den neste.

Å skille dette beviset fra kravene er hele oppgaven. Det gatewayens eier skylder deg, er en støttet kombinasjon av klient, protokoll, autentiseringsmetode og profilformat, og det er et annet spørsmål enn om en eller annen applikasjon åpner den gamle profilen din.

Hva filen i hånden din faktisk registrerer

En PCF er en liten profil av tilkoblingsoppføringer: en vert eller et par med primær og reserve, et gruppenavn og hint om hvordan klienten skal presentere påloggingsinformasjon. Den inneholder ingen protokollforhandling, ingen tillitsbeslutning og ingen erklæring om gatewayens nåværende evner. Å lese den forteller deg hvor den gamle klienten ringte og under hvilket gruppenavn, og den delen er virkelig nyttig kontekst for den som eier hodeenden.

Det den ikke kan fortelle, er om tjenesten bak vertsnavnet fortsatt godtar samme protokoll, eller om kontoen består i en form som passer med hintene. Svarene finnes på gatewayen og i identitetslageret, så spør der før du bygger.

Tre krav som ser ut som ett

Det første kravet er trådkompatibilitet: klienten må implementere fjern tilgang-protokollen som gatewayen avslutter. Det andre er autentisering, der metoden gatewayen krever — sertifikat, gruppelegitimasjon pluss MFA, eller EAP — må være en klienten faktisk kan utføre. Det tredje er policy: delt tunnel, DNS, adressepuljer og eventuelle posture-sjekker, alt konfigurert på gatewayen og levert til klienten i en profil den må godta.

En PCF gir svakt bevis for det andre kravet og i praksis ingenting for de to andre. En importfunksjon visker ut grensen ytterligere: en klient som mapper gamle felt til sitt eget format kan lykkes med importen og mislykkes med å koble til, og det motsatte er også mulig.

Fem spørsmål som gir et brukbart svar

Send spørsmål i stedet for filen. Hvilken kombinasjon av fjern tilgang-tjeneste og klient som støttes i dag; hvilken protokoll tjenesten viser mot internett; hvilken autentiseringsmetode og registreringsvei som gjelder; hvilken profil, hvilke tillitsankre og hvilken gruppe- eller MFA-policy som hører til; og hvilke deler som avviker fra den gamle tilkoblingen. Hvert svar svarer til ett av de tre kravene ovenfor.

Den listen gjør en diskusjon om filformater om til en beslutning om støtte, og gir vanligvis en dokumentasjonslenke og en navngitt eier i stedet for et skuldertrekk. Den forteller deg også tidlig om migreringen er en ny profil mot en eksisterende tjeneste, eller en gatewayendring ingen har planlagt ennå. Spør skriftlig, fordi svarene blir akseptkriteriene for det du bygger neste gang. Behold også det gamle gruppenavnet i saken, siden det ofte er den raskeste måten for operatøren å finne den riktige policyen.

Omdøping oversetter ingenting

Cisco Secure Client dokumenterer XML-profiler med egne protokollvalg, så å døpe om en .pcf til .xml gir verken XML eller innstillinger. Å lime inn et vertsnavn i en OpenVPN-fil får ikke en IPsec-gateway til å snakke OpenVPN, og en innebygd IKEv2-klient blir ikke kompatibel med en eldre tjeneste bare fordi begge beskrives som IPsec.

Hvert av disse grepene endrer en etikett og lar oppførselen på tråden være urørt, og derfor virker feilen som oppstår urelatert til endringen. Når gatewayen ikke kan tilby det den nye klienten implementerer, er de ærlige alternativene en klient som fortsatt snakker den gamle protokollen, eller en planlagt gatewaymigrering. Å gjette mellom dem koster uker og lærer ingenting.

Behandle den gamle profilen som sensitivt materiale

En gammel profil kan inneholde et internt vertsnavn, et gruppenavn og noen ganger lagret påloggingsinformasjon, som er nøyaktig den typen ting offentlige konvertere og forumtråder samler inn. La en administrator lese feltene gjennom en godkjent kanal i stedet for å laste opp filen noe sted.

Motstå fristelsen til å gjøre migreringen avhengig av en betaklient, et ikke-støttet gjestesystem eller svakere autentisering valgt for å holde en foreldet klient i live. Gamle priser og nedlastingssider er ikke bedre bevis enn PCF-en selv, fordi de beskriver en rettighet fra en annen tid og ikke kontrakten du trenger nå.