Hvilke VPN-protokoller snakker operativsystemet ditt allerede?

Før du laster ned en ny klient, se hva operativsystemet allerede implementerer, for svaret er ofte nok til å hoppe helt over installasjonsprogrammet. Windows, macOS og ChromeOS leverer hver sin faste, korte liste over tunnelprotokoller, og en gateway som snakker en av dem trenger ingen ekstra driver, tjeneste eller oppdateringsvei. Det er ikke leverandørnavnet på brosjyren som avgjør det. Det er protokollen, hvordan endepunktet autentiserer seg, og hvilken adresse det forventer.

Spør etter protokollen, ikke produktnavnet

Et produktnavn sier svært lite om hva som går over ledningen. To gatewayer solgt under samme etikett kan kreve helt forskjellige tunneler, og den ene kan godta en innebygd klient mens den andre avviser alt unntatt sin egen portal. To administratorer som beskriver samme boks kan være uenige og begge ha rett, fordi de beskriver forskjellige lag. Tunnelen under er det som avgjør om det trengs et installasjonsprogram.

Still tre spørsmål til den som driver gatewayen: hvilken tunnelprotokoll, hvilken autentiseringsmetode og hvilken adresse og DNS-suffiks klienten må godta. Spør etter protokollen ved navn, og når svaret kommer tilbake som et produktnavn, forklar hvorfor det er protokollen du trenger. De tre svarene avgjør klientspørsmålet før noen programvare lastes ned.

Det er en grunn til at produktnavnet overlever i så mange saker. Portalens URL er det brukerne ser, og tunnelen er usynlig mens den virker. Å skrive protokollen i overleveringsnotatet koster én linje og fjerner tvetydigheten for alle som kommer etter.

Hvor den innebygde listen stopper

De innebygde listene er korte, og kantene deres betyr mer enn innholdet. En plattform som snakker L2TP over IPsec med en forhåndsdelt nøkkel vil ikke snakke SSTP, og den forskjellen avgjør klienten. Tabellen er sortert etter tunnel og ikke etter leverandør, så du kan slå opp protokollen gatewayen nevnte.

Les tabellen mot gatewayens krav og ikke mot en brosjyre. Hvis svaret er L2TP over IPsec med en forhåndsdelt nøkkel, kobler de tre første plattformene til uten noe ekstra installert. Hvis svaret er OpenVPN, er bare ChromeOS dekket før du installerer noe. En protokoll som ikke vises i noen innebygd kolonne, er det ærlige signalet om at et installasjonsprogram er på vei.

Linux er kolonnen som motsetter seg generalisering. Protokollstøtten der lever i daemoner og programtillegg som distribusjonen velger å pakke, så et minimalt bilde snakker kanskje ingen av dem før du legger dem til, og to distribusjoner med samme skrivebord kan være forskjellige.

Bygg profilen fra en kommandolinje

Alt det grafiske panelet skriver, lagres et sted du kan nå, og det er det som gjør en innebygd profil automatiserbar. Windows lagrer VPN-oppføringer i .pbk filer under brukerprofilen og under ProgramData, og rasphone kan liste og redigere oppføringer som nettverkslisten ikke viser. Det betyr noe når en maskin klargjøres av et skript og ingen vil klikke gjennom en veiviser. Det forklarer også hvordan en profil kan finnes uten noen gang å dukke opp i systemkurven.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Å redigere en .pbk fil for hånd fungerer, og det er også den raskeste måten å ødelegge den, så la verktøyet eie formatet. macOS lagrer tjenestene sine i systemkonfigurasjonen, og networksetup henvender seg til dem ved tjenestenavn; flere flagg vil ha en adresse i stedet for et vertsnavn, så slå opp endepunktet først og lagre verdien klienten faktisk bruker. Den forskjellen biter under automatisering, fordi et skript som virker med en adresse kan feile med et navn, og feilen ser ut som en ødelagt gateway og ikke som et avvist argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Tjenestenavn er lokaliserte og kan redigeres av brukeren, så et skript som hardkoder Wi-Fi knekker på den første maskinen som er satt til et annet språk. Les navnet fra liste-kommandoen og send det videre i stedet for å gjette.

Sertifikater uten en proprietær klient

Noen utrullinger trenger et klientcertifikat og ingenting annet proprietært, og det er midtstilfellet som er verdt å teste før du godtar en driver. Å plassere et sertifikat i plattformens lager støttes; det er ikke det samme som å slippe en leverandørrot inn og stole på at klienten finner den. Det første er en bevisst plassering; det andre er en gjetning med en støttebillett vedlagt.

Detaljen som fanger folk, er hvilket lager klienten leser. Et sertifikat i brukerlageret er usynlig for en klient som er konfigurert for maskinlageret, og meldingen du får sier at sertifikatet mangler, ikke at det ligger på feil sted. Sjekk begge lagrene før du konkluderer med at sertifikatet er feil. Skriv ned hvilket det fungerende oppsettet bruker, for den noten overlever sertifikatet når maskinen bygges på nytt.

Windows skiller de to lagrene eksplisitt, og macOS skiller påloggingsnøkkelringen fra systemnøkkelringen. Navnene er forskjellige, men feilmodusen er identisk: et gyldig sertifikat som klienten aldri ser på.

Hva som tvinger frem et installasjonsprogram

Noen gatewayer binder klienten til et privat sertifikatlager, en postureringsagent eller en påloggingsutveksling som operativsystemet ikke kan utføre. Utrullinger bygget på Check Point-, Cisco- eller Fortinet-maskinvare havner ofte der, og i dem er den innebygde klienten ingen snarvei. En erstatning fra tredjepart kan koble til og likevel bryte retningslinjen, noe som gjør dette til en sikkerhetsbeslutning og ikke en bekvemmelighetsbeslutning. Installer det retningslinjen krever, og noter grunnen ved siden av installasjonsprogrammets versjon.

Den registreringen er delen folk hopper over, og delen som sparer den neste administratoren en uke: protokoll, autentiseringsmetode, adressefamilie og påkrevd suffiks, med én linje begrunnelse for hver binærfil som måtte legges til. Legg den der installasjonsnotatene bor, og ikke i en chat-tråd. To linjer dokumentasjon forhindrer en gjentatt undersøkelse.