Kun PCF-basert VPN-profil: hva du må spørre om før migrering

Noen rekker deg en .pcf-fil og en laptop og forventer at forbindelsen skal virke akkurat som for flere år siden. Det gjør den sjelden, og filformatet er nesten aldri grunnen. En PCF registrerer de parameterne en gammel Cisco VPN Client trengte for å nå én bestemt konsentrator; den sier ingenting om hvorvidt en moderne klient fortsatt kan kommunisere med den tjenesten. Filen er dokumentasjon på en tidligere forbindelse, ikke en avtale for den neste.

Å skille denne dokumentasjonen fra kravene er hele jobben. Det gatewayens eier skylder deg, er en støttet kombinasjon av klient, protokoll, autentiseringsmetode og profilformat, og det er et annet spørsmål enn om et eller annet program åpner den gamle profilen din.

Hva filen i hånden din egentlig registrerer

En PCF er en liten profil med oppføringer for tilkobling: en vert eller et par med primær og reserve, et gruppenavn og antydninger om hvordan klienten skal presentere legitimasjon. Den inneholder ingen protokollforhandling, ingen tillitsbeslutning og ingen erklæring om gatewayens nåværende egenskaper. Leser du den, ser du hvor den gamle klienten ringte og under hvilket gruppenavn, og den delen er virkelig nyttig bakgrunn for den som eier hodeenden.

Det den ikke kan si, er om tjenesten bak vertsnavnet fortsatt aksepterer samme protokoll, eller om kontoen lever videre i en form som samsvarer med antydningene. Svarene ligger på gatewayen og i identitetslageret, så spør der før du bygger.

Tre krav som ser ut som ett

Det første kravet er kompatibilitet på tråden: klienten må implementere fjernaksessprotokollen som gatewayen avslutter. Det andre er autentisering, der metoden gatewayen krever — sertifikat, gruppelegitimasjon pluss MFA, eller EAP — må være en klienten faktisk klarer å utføre. Det tredje er policy: delt tunnel, DNS, adressepooler og eventuelle posture-kontroller, alt satt opp på gatewayen og levert til klienten i en profil den må godta.

En PCF gir svak dokumentasjon for det andre kravet og i praksis ingenting for de to andre. En importfunksjon visker grensen enda mer ut: en klient som oversetter gamle felt til sitt eget format kan lykkes med importen og likevel ikke få forbindelse, og det motsatte er også mulig.

Fem spørsmål som gir et brukbart svar

Send spørsmål i stedet for filen. Hvilken kombinasjon av fjernaksess-tjeneste og klient som støttes i dag; hvilken protokoll tjenesten viser mot internett; hvilken autentiseringsmetode og registreringsvei som gjelder; hvilken profil, hvilke tillitsankre og hvilken gruppe- eller MFA-policy som hører til; og hvilke deler som avviker fra den gamle forbindelsen. Hvert svar hører til ett av de tre kravene over.

Listen gjør en diskusjon om filformater til en beslutning om støtte, og gir som regel en lenke til dokumentasjon og en navngitt eier i stedet for et skuldertrekk. Den forteller deg også tidlig om migreringen er en ny profil mot en eksisterende tjeneste, eller en endring i gatewayen som ingen har planlagt ennå. Spør skriftlig, fordi svarene blir akseptkriteriene for det du bygger neste gang. Ta også med det gamle gruppenavnet i saken, siden det ofte er den raskeste veien for operatøren til å finne riktig policy.

Å bytte navn oversetter ingenting

Cisco Secure Client dokumenterer XML-profiler med egne protokollvalg, så å gi en .pcf nytt navn til .xml gir verken XML eller innstillinger. Å lime et vertsnavn inn i en OpenVPN-fil får ikke en IPsec-gateway til å snakke OpenVPN, og en innebygd IKEv2-klient blir ikke kompatibel med en eldre tjeneste bare fordi begge omtales som IPsec.

Hvert av disse grepene endrer en etikett og lar oppførselen på tråden være urørt, og derfor virker feilen som følger urelatert til endringen. Når gatewayen ikke kan tilby det den nye klienten implementerer, er de ærlige valgene en klient som fortsatt snakker den gamle protokollen, eller en planlagt migrering av gatewayen. Å gjette mellom dem koster uker og lærer ingenting.

Behandle den gamle profilen som sensitivt materiale

En gammel profil kan inneholde et internt vertsnavn, et gruppenavn og noen ganger lagret legitimasjon, som er akkurat den typen ting offentlige konvertere og forumtråder samler inn. La en administrator lese feltene gjennom en godkjent kanal i stedet for å laste opp filen et eller annet sted.

Motstå fristelsen til å gjøre migreringen avhengig av en betaklient, et system for gjester som ikke støttes, eller svakere autentisering valgt for å holde en utdatert klient i live. Gamle priser og nedlastingssider er ikke bedre bevis enn selve PCF-en, fordi de beskriver en rettighet fra en annen tid og ikke avtalen du trenger nå.