Kva VPN-protokollar snakkar operativsystemet ditt allereie?

Før du lastar ned ein ny klient, sjå kva operativsystemet allereie implementerer, for svaret er ofte nok til å hoppe heilt over installasjonsprogrammet. Windows, macOS og ChromeOS leverer kvar si faste, korte liste over tunnelprotokollar, og ein gateway som snakkar ein av dei treng ingen ekstra drivar, teneste eller oppdateringsveg. Det er ikkje leverandørnamnet på brosjyren som avgjer det. Det er protokollen, korleis endepunktet autentiserer seg, og kva adresse det ventar.

Spør etter protokollen, ikkje produktnamnet

Eit produktnamn seier svært lite om kva som går over leidninga. To gatewayar selde under same etikett kan krevje heilt ulike tunnelar, og den eine kan godta ein innebygd klient medan den andre avviser alt utanom sin eigen portal. To administratorar som skildrar same boks kan vere usamde og begge ha rett, fordi dei skildrar ulike lag. Tunnelen under er det som avgjer om det trengst eit installasjonsprogram.

Still tre spørsmål til den som driv gatewayen: kva tunnelprotokoll, kva autentiseringsmetode og kva adresse og DNS-suffiks klienten må godta. Spør etter protokollen ved namn, og når svaret kjem tilbake som eit produktnamn, forklar kvifor det er protokollen du treng. Dei tre svara avgjer klientspørsmålet før noko programvare blir lasta ned.

Det er ein grunn til at produktnamnet overlever i så mange saker. URL-en til portalen er det brukarane ser, og tunnelen er usynleg medan han verkar. Å skrive protokollen i overleveringsnotatet kostar éi linje og fjernar tvitydigheita for alle som kjem etter.

Kvar den innebygde lista stoppar

Dei innebygde listene er korte, og kantane deira tyder meir enn innhaldet. Ein plattform som snakkar L2TP over IPsec med ein førehandsdelt nøkkel vil ikkje snakke SSTP, og den skilnaden avgjer klienten. Tabellen er sortert etter tunnel og ikkje etter leverandør, så du kan slå opp protokollen gatewayen nemnde.

Les tabellen mot krava til gatewayen og ikkje mot ein brosjyre. Viss svaret er L2TP over IPsec med ein førehandsdelt nøkkel, koplar dei tre første plattformane til utan noko ekstra installert. Viss svaret er OpenVPN, er berre ChromeOS dekt før du installerer noko. Ein protokoll som ikkje visest i nokon innebygd kolonne, er det ærlege signalet om at eit installasjonsprogram er på veg.

Linux er kolonnen som motset seg generalisering. Protokollstøtta der lever i daemonar og programtillegg som distribusjonen vel å pakke, så eit minimalt bilete snakkar kanskje ingen av dei før du legg dei til, og to distribusjonar med same skrivebord kan vere ulike.

Bygg profilen frå ei kommandolinje

Alt det grafiske panelet skriv, blir lagra ein stad du kan nå, og det er det som gjer ein innebygd profil automatiserbar. Windows lagrar VPN-oppføringar i .pbk filer under brukarprofilen og under ProgramData, og rasphone kan liste og redigere oppføringar som nettverkslista ikkje viser. Det betyr noko når ein maskin blir klargjord av eit skript og ingen vil klikke gjennom ein vegvisar. Det forklarer også korleis ein profil kan finnast utan nokon gong å dukke opp i systemkurven.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Å redigere ei .pbk fil for hand fungerer, og det er også den raskaste måten å øydeleggje ho, så la verktøyet eige formatet. macOS lagrar tenestene sine i systemkonfigurasjonen, og networksetup vender seg til dei ved tenestenamn; fleire flagg vil ha ei adresse i staden for eit vertsnamn, så slå opp endepunktet først og lagre verdien klienten faktisk brukar. Den skilnaden bit under automatisering, fordi eit skript som verkar med ei adresse kan feile med eit namn, og feilen ser ut som ein øydelagd gateway og ikkje som eit avvist argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Tenestenamn er lokaliserte og kan redigerast av brukaren, så eit skript som hardkoda Wi-Fi knekk på den første maskinen som er sett til eit anna språk. Les namnet frå liste-kommandoen og send det vidare i staden for å gjette.

Sertifikat utan ein proprietær klient

Nokre utrullingar treng eit klientcertifikat og ingenting anna proprietært, og det er midttilfellet som er verdt å teste før du godtek ein drivar. Å plassere eit sertifikat i lageret til plattforma blir støtta; det er ikkje det same som å sleppe ein leverandørrot inn og stole på at klienten finn han. Det første er ei medvite plassering; det andre er ei gjetting med ein støttebillett vedlagd.

Detaljen som fangar folk, er kva lager klienten les. Eit sertifikat i brukarlageret er usynleg for ein klient som er konfigurert for maskinlageret, og meldinga du får seier at sertifikatet manglar, ikkje at det ligg på feil stad. Sjekk begge lagera før du konkluderer med at sertifikatet er feil. Skriv ned kva det fungerande oppsettet brukar, for den noten overlever sertifikatet når maskinen blir bygd på nytt.

Windows skil dei to lagera eksplisitt, og macOS skil påloggingsnykelringen frå systemnykelringen. Namna er ulike, men feilmodusen er identisk: eit gyldig sertifikat som klienten aldri ser på.

Kva som tvingar fram eit installasjonsprogram

Nokre gatewayar bind klienten til eit privat sertifikatlager, ein postureringsagent eller ein påloggingsutveksling som operativsystemet ikkje kan utføre. Utrullingar bygde på Check Point-, Cisco- eller Fortinet-maskinvare hamnar ofte der, og i dei er den innebygde klienten inga snøggveg. Ei erstatning frå tredjepart kan kople til og likevel bryte retningslinja, noko som gjer dette til ei tryggingsavgjerd og ikkje ei avgjerd om komfort. Installer det retningslinja krev, og noter grunnen ved sida av versjonen til installasjonsprogrammet.

Den registreringa er delen folk hoppar over, og delen som sparar den neste administratoren ei veke: protokoll, autentiseringsmetode, adressefamilie og påkravd suffiks, med éi linje grunngjeving for kvar binærfil som måtte leggjast til. Legg ho der installasjonsnotata bur, og ikkje i ein chat-tråd. To linjer dokumentasjon hindrar ei gjenteken undersøking.