Kun-PCF VPN-profil: kva du bør spørje om før du migrerer

Nokon gir deg ei .pcf-fil og ein berbar PC og ventar at tilkoplinga fungerer nøyaktig som for år sidan. Vanlegvis gjer ho ikkje det, og filformatet er sjeldan årsaka. Ei PCF registrerer parametrane ein gammal Cisco VPN Client trong for å nå éin bestemd konsentrator; ho seier ingenting om ein klient i dag framleis kan snakke med den tenesta. Fila er prov på ei tidlegare tilkopling, ikkje ein kontrakt for den neste.

Å skilje dette provet frå krava er heile oppgåva. Det eigaren av gatewayen skuldar deg, er ein støtta kombinasjon av klient, protokoll, autentiseringsmetode og profilformat, og det er eit anna spørsmål enn om eit eller anna program opnar den gamle profilen din.

Kva fila i handa di faktisk registrerer

Ei PCF er ein liten profil av tilkoplingspostar: ein vert eller eit par med primær og reserve, eit gruppenamn og hint om korleis klienten skal leggje fram påloggingsinformasjon. Ho inneheld ingen protokollforhandling, inga tillitsavgjerd og inga fråsegn om dei noverande evnene til gatewayen. Å lese ho fortel deg kvar den gamle klienten ringde og under kva gruppenamn, og den delen er verkeleg nyttig kontekst for den som eig hovudenden.

Det ho ikkje kan fortelje, er om tenesta bak vertsnamnet framleis godtek same protokoll, eller om kontoen held fram i ei form som passar med hinta. Svara finst på gatewayen og i identitetslageret, så spør der før du byggjer.

Tre krav som ser ut som eitt

Det første kravet er trådkompatibilitet: klienten må implementere fjernåtkomstprotokollen som gatewayen avsluttar. Det andre er autentisering, der metoden gatewayen krev — sertifikat, gruppelegitimasjon pluss MFA, eller EAP — må vere ein klienten faktisk kan utføre. Det tredje er policy: delt tunnel, DNS, adressebasseng og eventuelle postur-sjekkar, alt sett opp på gatewayen og levert til klienten i ein profil han må godta.

Ei PCF gir svakt prov for det andre kravet og i praksis ingenting for dei to andre. Ein importfunksjon gjer grensa endå meir uklår: ein klient som mappar gamle felt til sitt eige format kan lukkast med importen og mislukkast med å kople til, og det motsette er også mogleg.

Fem spørsmål som gir eit brukbart svar

Send spørsmål i staden for fila. Kva kombinasjon av fjernåtkomstteneste og klient som er støtta i dag; kva protokoll tenesta viser mot internett; kva autentiseringsmetode og registreringsveg som gjeld; kva profil, kva tillitsanker og kva gruppe- eller MFA-policy som høyrer til; og kva delar som skil seg frå den gamle tilkoplinga. Kvart svar svarar til eitt av dei tre krava ovanfor.

Den lista gjer ein diskusjon om filformat om til ei avgjerd om støtte, og gir vanlegvis ei dokumentasjonslenkje og ein namngjeven eigar i staden for eit skuldertrekk. Ho fortel deg også tidleg om migreringa er ein ny profil mot ei eksisterande teneste, eller ei gatewayendring ingen har planlagt enno. Spør skriftleg, fordi svara blir akseptkriteria for det du byggjer neste gong. Hald også det gamle gruppenamnet i saka, sidan det ofte er den snøggaste vegen for operatøren til å finne den rette policyen.

Omdøyping omset ingenting

Cisco Secure Client dokumenterer XML-profilar med eigne protokollval, så å døype om ein .pcf til .xml gir korkje XML eller innstillingar. Å lime inn eit vertsnamn i ei OpenVPN-fil får ikkje ein IPsec-gateway til å snakke OpenVPN, og ein innebygd IKEv2-klient blir ikkje kompatibel med ei eldre teneste berre fordi begge blir skildra som IPsec.

Kvart av desse grepa endrar ei etikett og let åtferda på tråden vere urørd, og difor verkar feilen som oppstår urelatert til endringa. Når gatewayen ikkje kan tilby det den nye klienten implementerer, er dei ærlege alternativa ein klient som framleis snakkar den gamle protokollen, eller ei planlagd gatewaymigrering. Å gjette mellom dei kostar veker og lærer ingenting.

Handter den gamle profilen som sensitivt materiale

Ein gammal profil kan innehalde eit internt vertsnamn, eit gruppenamn og stundom lagra påloggingsinformasjon, som er nøyaktig den typen ting offentlege konverterar og forumtrådar samlar inn. La ein administrator lese felta gjennom ein godkjend kanal i staden for å laste opp fila nokon stad.

Motstå freistinga til å gjere migreringa avhengig av ein betaklient, eit ikkje-støtta gjestesystem eller veikare autentisering vald for å halde ein forelda klient i live. Gamle prisar og nedlastingssider er ikkje betre prov enn PCF-a sjølv, fordi dei skildrar ein rett frå ei anna tid og ikkje kontrakten du treng no.