Welke VPN-protocollen spreekt uw besturingssysteem al?

Voordat u nog een client downloadt, kijk wat het besturingssysteem al implementeert, want het antwoord is vaak genoeg om het installatieprogramma helemaal over te slaan. Windows, macOS en ChromeOS leveren elk een vaste, korte lijst tunnelprotocollen, en een gateway die er een spreekt heeft geen extra stuurprogramma, service of updateroute nodig. Dat wordt niet bepaald door de leveranciersnaam op de brochure. Het zijn het protocol, hoe het eindpunt zich authenticeert en welk adres het verwacht.

Vraag naar het protocol, niet naar de productnaam

Een productnaam zegt heel weinig over wat er over de lijn gaat. Twee gateways die onder hetzelfde label worden verkocht, kunnen volledig verschillende tunnels eisen, en de ene accepteert misschien een ingebouwde client terwijl de andere alles weigert behalve zijn eigen portaal. Twee beheerders die dezelfde doos beschrijven, kunnen het oneens zijn en beiden gelijk hebben, omdat ze verschillende lagen beschrijven. De tunnel eronder is wat bepaalt of er een installatieprogramma nodig is.

Stel drie vragen aan wie de gateway beheert: welk tunnelprotocol, welke authenticatiemethode en welk adres en DNS-achtervoegsel de client moet accepteren. Vraag naar het protocol bij naam, en wanneer het antwoord als productnaam terugkomt, leg dan uit waarom u het protocol nodig hebt. Die drie antwoorden beslechten de clientvraag voordat er software wordt gedownload.

Er is een reden waarom de productnaam in zoveel tickets overleeft. De URL van het portaal is wat gebruikers zien, en de tunnel is onzichtbaar zolang hij werkt. Het protocol in de overdrachtsnotitie schrijven kost één regel en haalt de dubbelzinnigheid weg voor iedereen die later komt.

Waar de ingebouwde lijst ophoudt

De native lijsten zijn kort, en hun randen tellen zwaarder dan hun inhoud. Een platform dat L2TP over IPsec met een vooraf gedeelde sleutel spreekt, spreekt geen SSTP, en dat verschil bepaalt de client. De tabel is geordend op tunnel en niet op leverancier, dus u kunt het protocol opzoeken dat de gateway noemde.

Lees de tabel tegen de eisen van de gateway, niet tegen een brochure. Is het antwoord L2TP over IPsec met een vooraf gedeelde sleutel, dan verbinden de eerste drie platforms zonder dat er iets extra is geïnstalleerd. Is het antwoord OpenVPN, dan is alleen ChromeOS gedekt voordat u iets installeert. Een protocol dat in geen enkele ingebouwde kolom staat, is het eerlijke signaal dat er een installatieprogramma aankomt.

Linux is de kolom die zich tegen generalisatie verzet. De protocolondersteuning leeft daar in daemons en plug-ins die de distributie kiest te verpakken, dus een minimale image spreekt misschien geen van alle totdat u ze toevoegt, en twee distributies met dezelfde desktop kunnen verschillen.

Bouw het profiel vanaf de opdrachtregel

Alles wat het grafische paneel schrijft, wordt ergens opgeslagen waar u bij kunt, en dat is wat een ingebouwd profiel automatiseerbaar maakt. Windows bewaart VPN-vermeldingen in .pbk bestanden onder het gebruikersprofiel en onder ProgramData, en rasphone kan vermeldingen tonen en bewerken die de netwerklijst niet toont. Dat telt wanneer een machine met een script wordt ingericht en niemand door een wizard zal klikken. Het verklaart ook hoe een profiel kan bestaan zonder ooit in het systeemvak te verschijnen.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Een .pbk bestand met de hand bewerken werkt, en het is ook de snelste manier om het te beschadigen, dus laat het gereedschap het formaat bezitten. macOS bewaart zijn services in de systeemconfiguratie, en networksetup spreekt ze aan op servicenaam; verschillende opties willen een adres in plaats van een hostnaam, dus los eerst het eindpunt op en bewaar de waarde die de client echt gebruikt. Dat onderscheid bijt tijdens automatisering, omdat een script dat met een adres werkt kan falen met een naam, en de fout ziet eruit als een kapotte gateway in plaats van een geweigerd argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Servicenamen zijn gelokaliseerd en door de gebruiker te bewerken, dus een script dat Wi-Fi hardcodeert, breekt op de eerste machine die op een andere taal is ingesteld. Lees de naam uit de lijstopdracht en geef hem door in plaats van te gokken.

Certificaten zonder eigen client

Sommige uitrollingen vragen een clientcertificaat en niets anders eigens, en dat is het tussenliggende geval dat de moeite waard is om te testen voordat u een stuurprogramma accepteert. Een certificaat in de opslag van het platform plaatsen wordt ondersteund; het is niet dezelfde handeling als een leveranciersroot erin gooien en erop vertrouwen dat de client hem vindt. Het eerste is een bewuste plaatsing; het tweede is een gok met een supportticket eraan vast.

Het detail dat mensen vangt, is welke opslag de client leest. Een certificaat in de gebruikersopslag is onzichtbaar voor een client die op de machineopslag is geconfigureerd, en het bericht dat u krijgt zegt dat het certificaat ontbreekt, niet dat het op de verkeerde plek staat. Controleer beide opslagen voordat u concludeert dat het certificaat verkeerd is. Noteer welke de werkende configuratie gebruikt, want die notitie overleeft het certificaat wanneer de machine opnieuw wordt opgebouwd.

Windows scheidt de twee opslagen expliciet, en macOS scheidt de inlogsleutelhanger van de systeemsleutelhanger. De namen verschillen, maar de faalmodus is identiek: een geldig certificaat waar de client nooit naar kijkt.

Wat een installatieprogramma afdwingt

Sommige gateways binden de client aan een privé-certificaatopslag, een posture-agent of een aanmeldingsuitwisseling die het besturingssysteem niet kan uitvoeren. Uitrollingen op Check Point-, Cisco- of Fortinet-hardware belanden daar vaak, en daarin is de ingebouwde client geen snelkoppeling. Een vervanging van derden kan verbinden en toch het beleid schenden, wat dit een beveiligingsbeslissing maakt in plaats van een gemaksbeslissing. Installeer wat het beleid eist en noteer de reden naast de versie van het installatieprogramma.

Die registratie is het deel dat mensen overslaan en het deel dat de volgende beheerder een week scheelt: protocol, authenticatiemethode, adresfamilie en vereist achtervoegsel, met één regel onderbouwing voor elk binair bestand dat moest worden toegevoegd. Zet het waar de installatienotities staan en niet in een chatthread. Twee regels documentatie voorkomen een herhaald onderzoek.