Profil VPN tylko z PCF: o co zapytać przed migracją

Ktoś wręcza ci plik .pcf i laptopa i oczekuje, że połączenie będzie działać dokładnie tak jak lata temu. Zwykle nie będzie, a format pliku rzadko jest przyczyną. PCF zapisuje parametry, których stary Cisco VPN Client potrzebował, aby dotrzeć do jednego konkretnego koncentratora; nie mówi nic o tym, czy obecny klient nadal potrafi rozmawiać z tą usługą. Plik jest dowodem minionego połączenia, a nie umową na następne.

Oddzielenie tego dowodu od wymagań to całe zadanie. Właściciel bramy jest ci winien obsługiwaną kombinację klienta, protokołu, metody uwierzytelniania i formatu profilu, a to inne pytanie niż to, czy jakakolwiek aplikacja otworzy twój stary profil.

Co naprawdę zapisuje plik w twojej ręce

PCF to mały profil wpisów połączenia: host albo para podstawowy i zapasowy, nazwa grupy i wskazówki, jak klient ma przedstawiać dane uwierzytelniające. Nie ma w nim negocjacji protokołu, decyzji o zaufaniu ani oświadczenia o obecnych możliwościach bramy. Przeczytanie go mówi, dokąd dzwonił stary klient i pod jaką nazwą grupy, a ta część jest naprawdę przydatnym kontekstem dla tego, kto zarządza węzłem głównym.

Czego nie potrafi powiedzieć, to czy usługa za tą nazwą hosta nadal przyjmuje ten sam protokół, albo czy konto trwa w formie pasującej do wskazówek. Te odpowiedzi są na bramie i w magazynie tożsamości, więc pytaj tam, zanim zaczniesz budować.

Trzy wymagania, które wyglądają jak jedno

Pierwsze wymaganie to zgodność w sieci: klient musi implementować protokół dostępu zdalnego, który kończy brama. Drugie to uwierzytelnianie, gdzie metoda wymagana przez bramę — certyfikat, dane grupy plus MFA albo EAP — musi być taka, którą klient naprawdę potrafi wykonać. Trzecie to polityka: tunel dzielony, DNS, pule adresów i wszelkie kontrole stanu, wszystko skonfigurowane na bramie i dostarczone klientowi w profilu, który musi zaakceptować.

PCF daje słaby dowód co do drugiego wymagania i praktycznie żaden co do pozostałych dwóch. Funkcja importu dodatkowo zaciera granicę: klient, który mapuje stare pola na własny format, może odnieść sukces przy imporcie, a nie połączyć się, i odwrotnie również jest możliwe.

Pięć pytań, które dają użyteczną odpowiedź

Wyślij pytania, a nie plik. Jaka kombinacja usługi dostępu zdalnego i klienta jest dziś obsługiwana; jaki protokół ta usługa prezentuje internetowi; jaka metoda uwierzytelniania i ścieżka rejestracji obowiązują; jaki profil, jakie kotwice zaufania i jaka polityka grupy lub MFA mu towarzyszą; oraz które części różnią się od starego połączenia. Każda odpowiedź odpowiada jednemu z trzech wymagań powyżej.

Ta lista zamienia dyskusję o formatach plików w decyzję o wsparciu i zwykle daje link do dokumentacji oraz wskazanego właściciela zamiast wzruszenia ramion. Mówi też wcześnie, czy migracja to nowy profil wobec istniejącej usługi, czy zmiana bramy, której nikt jeszcze nie zaplanował. Pytaj na piśmie, bo odpowiedzi stają się kryteriami akceptacji tego, co zbudujesz dalej. Zachowaj też starą nazwę grupy w zgłoszeniu, bo to często najszybsza droga dla operatora do znalezienia pasującej polityki.

Zmiana nazwy niczego nie tłumaczy

Cisco Secure Client dokumentuje profile XML z własnymi wyborami protokołu, więc zmiana nazwy .pcf na .xml nie daje ani XML, ani ustawień. Wklejenie nazwy hosta do pliku OpenVPN nie sprawia, że brama IPsec mówi OpenVPN, a natywny klient IKEv2 nie staje się zgodny ze starszą usługą tylko dlatego, że oba opisuje się jako IPsec.

Każdy z tych kroków zmienia etykietę i pozostawia zachowanie w sieci nietknięte, dlatego powstały błąd wygląda na niezwiązany z edycją. Gdy brama nie może zaoferować tego, co implementuje nowy klient, uczciwe opcje to klient mówiący jeszcze starym protokołem albo zaplanowana migracja bramy. Zgadywanie między nimi kosztuje tygodnie i niczego nie uczy.

Traktuj stary profil jako materiał wrażliwy

Stary profil może zawierać wewnętrzną nazwę hosta, nazwę grupy i czasem zapisane dane uwierzytelniające, czyli dokładnie taki kształt rzeczy, jaki zbierają publiczne konwertery i wątki na forach. Niech administrator odczyta pola zatwierdzonym kanałem, zamiast przesyłać plik gdziekolwiek.

Oprzyj się pokusie uzależnienia migracji od klienta beta, nieobsługiwanego systemu gościa albo słabszego uwierzytelniania wybranego po to, by utrzymać przy życiu przestarzałego klienta. Stare ceny i strony pobierania nie są lepszym dowodem niż sam PCF, bo opisują uprawnienie z innej epoki, a nie umowę, której teraz potrzebujesz.