Alleen-PCF VPN-profiel: wat u moet vragen voordat u migreert

Iemand overhandigt u een .pcf-bestand en een laptop en verwacht dat de verbinding precies werkt zoals jaren geleden. Meestal gebeurt dat niet, en het bestandsformaat is zelden de reden. Een PCF legt de parameters vast die een oude Cisco VPN Client nodig had om één specifieke concentrator te bereiken; hij zegt niets over de vraag of een huidige client nog met die dienst kan praten. Het bestand is bewijs over een eerdere verbinding, geen contract voor de volgende.

Dat bewijs van de eisen scheiden is de hele opgave. Wat de eigenaar van de gateway u verschuldigd is, is een ondersteunde combinatie van client, protocol, authenticatiemethode en profielformaat, en dat is een andere vraag dan of een of andere toepassing uw oude profiel opent.

Wat het bestand in uw hand werkelijk vastlegt

Een PCF is een klein profiel van verbindingsregels: een host of een paar primair en reserve, een groepsnaam en hints over hoe de client inloggegevens moet aanbieden. Er zit geen protocolonderhandeling in, geen vertrouwensbeslissing en geen verklaring over de huidige mogelijkheden van de gateway. Als u het leest, weet u waar de oude client belde en onder welke groepsnaam, en dat deel is echt nuttige context voor wie de kop van het netwerk beheert.

Wat het u niet kan vertellen, is of de dienst achter die hostnaam nog hetzelfde protocol accepteert, of het account voortbestaat in een vorm die bij de hints past. Die antwoorden staan op de gateway en in het identiteitsarchief, dus vraag daar voordat u gaat bouwen.

Drie eisen die er als één uitzien

De eerste eis is compatibiliteit op de lijn: de client moet het remote-accessprotocol implementeren dat de gateway beëindigt. De tweede is authenticatie, waarbij de methode die de gateway eist — certificaat, groepsreferentie plus MFA, of EAP — er een moet zijn die de client werkelijk kan uitvoeren. De derde is beleid: split tunnelling, DNS, adrespoelen en eventuele posture-controles, allemaal op de gateway geconfigureerd en aan de client geleverd in een profiel dat hij moet accepteren.

Een PCF levert zwak bewijs over de tweede eis en vrijwel niets over de andere twee. Een importfunctie vervaagt de grens verder: een client die oude velden naar zijn eigen formaat vertaalt, kan slagen bij het importeren maar falen bij het verbinden, en het omgekeerde is ook mogelijk.

Vijf vragen die een bruikbaar antwoord opleveren

Stuur vragen in plaats van het bestand. Welke combinatie van remote-accessdienst en client vandaag wordt ondersteund; welk protocol die dienst naar internet presenteert; welke authenticatiemethode en welk registratiepad gelden; welk profiel, welke vertrouwensankers en welk groeps- of MFA-beleid daarbij horen; en welke onderdelen afwijken van de oude verbinding. Elk antwoord hoort bij een van de drie eisen hierboven.

Die lijst maakt van een discussie over bestandsformaten een beslissing over ondersteuning, en levert meestal een documentatielink en een genoemde eigenaar op in plaats van een schouderophalen. Ze vertelt u ook vroeg of de migratie een nieuw profiel tegen een bestaande dienst is, of een gatewaywijziging die nog niemand heeft ingepland. Vraag het schriftelijk, want de antwoorden worden de acceptatiecriteria voor wat u hierna bouwt. Houd ook de oude groepsnaam in het ticket, want dat is vaak de snelste manier voor de beheerder om het bijbehorende beleid te vinden.

Hernoemen vertaalt niets

Cisco Secure Client documenteert XML-profielen met eigen protocolkeuzes, dus een .pcf hernoemen naar .xml levert noch XML noch instellingen op. Een hostnaam in een OpenVPN-bestand plakken maakt van een IPsec-gateway geen OpenVPN-spreker, en een native IKEv2-client wordt niet compatibel met een oudere dienst alleen omdat beide als IPsec worden beschreven.

Elk van die stappen verandert een label en laat het gedrag op de lijn ongemoeid, en daarom lijkt de resulterende fout los te staan van de wijziging. Als de gateway niet kan bieden wat de nieuwe client implementeert, zijn de eerlijke opties een client die nog het oude protocol spreekt of een geplande gatewaymigratie. Gissen tussen beide kost weken en leert niets.

Behandel het oude profiel als gevoelig materiaal

Een oud profiel kan een interne hostnaam, een groepsnaam en soms opgeslagen inloggegevens bevatten, precies de vorm van spullen die openbare converters en forumdiscussies verzamelen. Laat een beheerder de velden via een goedgekeurd kanaal lezen in plaats van het bestand ergens te uploaden.

Weerstaat u de verleiding om de migratie afhankelijk te maken van een bètaclient, een niet-ondersteund gastsysteem of zwakkere authenticatie die is gekozen om een verouderde client in leven te houden. Oude prijzen en downloadpagina's zijn geen beter bewijs dan de PCF zelf, want ze beschrijven een recht uit een ander tijdperk en niet het contract dat u nu nodig hebt.