Które protokoły VPN Twój system operacyjny już rozumie?

Zanim pobierzesz kolejnego klienta, sprawdź, co system operacyjny już implementuje, bo odpowiedź często wystarcza, by całkowicie pominąć instalator. Windows, macOS i ChromeOS dostarczają stałą i krótką listę protokołów tuneli, a brama, która mówi jednym z nich, nie potrzebuje dodatkowego sterownika, usługi ani ścieżki aktualizacji. Nie decyduje o tym nazwa dostawcy na broszurze. Decydują protokół, sposób uwierzytelniania punktu końcowego i adres, którego oczekuje.

Pytaj o protokół, nie o nazwę produktu

Nazwa produktu mówi bardzo mało o tym, co przechodzi przez przewód. Dwie bramy sprzedawane pod tą samą etykietą mogą wymagać zupełnie różnych tuneli, a jedna może akceptować klienta wbudowanego, podczas gdy druga odrzuca wszystko oprócz własnego portalu. Dwaj administratorzy opisujący to samo pudełko mogą się nie zgadzać i obaj mieć rację, bo opisują różne warstwy. Tunel pod spodem decyduje, czy instalator jest potrzebny.

Zadaj trzy pytania osobie, która zarządza bramą: jaki protokół tunelu, jaka metoda uwierzytelniania i jaki adres oraz sufiks DNS musi zaakceptować klient. Pytaj o protokół z nazwy, a gdy odpowiedź wróci jako nazwa produktu, wyjaśnij, dlaczego potrzebny jest protokół. Te trzy odpowiedzi rozstrzygają kwestię klienta, zanim zostanie pobrane jakiekolwiek oprogramowanie.

Jest powód, dla którego nazwa produktu przetrwa w tak wielu zgłoszeniach. Adres URL portalu to, co widzą użytkownicy, a tunel jest niewidoczny, dopóki działa. Zapisanie protokołu w notatce przekazania kosztuje jedną linię i usuwa niejednoznaczność dla wszystkich, którzy przyjdą później.

Gdzie kończy się lista wbudowana

Listy natywne są krótkie, a ich krawędzie ważniejsze niż zawartość. L2TP przez IPsec z kluczem współdzielonym wcześniej nie będzie mówić SSTP, i ta różnica decyduje o kliencie. Tabela jest uporządkowana według tunelu, a nie dostawcy, więc możesz wyszukać protokół, który wskazała brama.

Czytaj tabelę względem wymagań bramy, a nie broszury. Jeśli odpowiedź to L2TP przez IPsec z kluczem współdzielonym wcześniej, pierwsze trzy platformy łączą się bez niczego dodatkowo zainstalowanego. Jeśli odpowiedź to OpenVPN, przed zainstalowaniem czegokolwiek objęty jest tylko ChromeOS. Protokół, którego nie ma w żadnej wbudowanej kolumnie, to uczciwy sygnał, że nadchodzi instalator.

Linux to kolumna, która opiera się uogólnianiu. Wsparcie protokołów żyje w demonach i wtyczkach, które dystrybucja wybiera do spakowania, więc minimalny obraz może nie mówić żadnym z nich, dopóki ich nie dodasz, a dwie dystrybucje z tym samym pulpitem mogą się różnić.

Zbuduj profil z wiersza poleceń

Wszystko, co zapisuje panel graficzny, jest przechowywane gdzieś, gdzie możesz dotrzeć, i to właśnie czyni wbudowany profil automatyzowalnym. Windows trzyma wpisy VPN w .pbk plikach w profilu użytkownika i w ProgramData, a rasphone potrafi wylistować i edytować wpisy, których lista sieci nie pokazuje. To ma znaczenie, gdy maszyna jest przygotowywana skryptem i nikt nie będzie klikał przez kreatora. Wyjaśnia też, jak profil może istnieć, nigdy nie pojawiając się w zasobniku.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ręczna edycja .pbk pliku działa i jest też najszybszym sposobem na jego zepsucie, więc pozwól narzędziu posiadać format. macOS trzyma swoje usługi w konfiguracji systemu, a networksetup adresuje je po nazwie usługi; kilka flag chce adresu zamiast nazwy hosta, więc najpierw rozwiąż punkt końcowy i zapisz wartość, której klient faktycznie użyje. Ta różnica gryzie podczas automatyzacji, bo skrypt działający z adresem może zawieść z nazwą, a błąd wygląda jak zepsuta brama, a nie odrzucony argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Nazwy usług są zlokalizowane i edytowalne przez użytkownika, więc skrypt, który na stałe koduje Wi-Fi psuje się na pierwszej maszynie ustawionej na inny język. Odczytaj nazwę z polecenia listy i przekaż ją dalej, zamiast zgadywać.

Certyfikaty bez własnego klienta

Niektóre wdrożenia wymagają certyfikatu klienta i niczego innego własnego, i to jest przypadek pośredni, który warto przetestować, zanim zaakceptujesz sterownik. Umieszczenie certyfikatu w magazynie platformy jest obsługiwane; to nie ta sama czynność co wrzucenie korzenia dostawcy i liczenie, że klient go znajdzie. Pierwsze to świadome umieszczenie; drugie to domysł z dołączonym zgłoszeniem do pomocy technicznej.

Szczegół, który łapie ludzi, to magazyn, który czyta klient. Certyfikat w magazynie użytkownika jest niewidoczny dla klienta skonfigurowanego na magazyn komputera, a komunikat, który dostajesz, mówi, że certyfikatu brakuje, a nie że leży w złym miejscu. Sprawdź oba magazyny, zanim uznasz, że certyfikat jest zły. Zapisz, którego używa działająca konfiguracja, bo ta notatka przeżyje certyfikat, gdy maszyna zostanie odbudowana.

Windows rozdziela oba magazyny jawnie, a macOS oddziela pęk kluczy logowania od pęku kluczy systemu. Nazwy się różnią, ale tryb awarii jest identyczny: ważny certyfikat, na który klient nigdy nie patrzy.

Co wymusza instalator

Niektóre bramy wiążą klienta z prywatnym magazynem certyfikatów, agentem postawy lub wymianą logowania, której system operacyjny nie potrafi wykonać. Wdrożenia na sprzęcie Check Point, Cisco lub Fortinet często tam trafiają, a w nich wbudowany klient nie jest skrótem. Zamiennik innej firmy może się połączyć i nadal złamać politykę, co czyni to decyzją o bezpieczeństwie, a nie o wygodzie. Zainstaluj to, czego wymaga polityka, i zapisz powód obok wersji instalatora.

Ten zapis to część, którą ludzie pomijają, i część, która oszczędza następnemu administratorowi tydzień: protokół, metoda uwierzytelniania, rodzina adresów i wymagany sufiks, z jedną linią uzasadnienia dla każdego pliku binarnego, który trzeba było dodać. Umieść go tam, gdzie żyją notatki instalatora, a nie w wątku czatu. Dwie linie dokumentacji zapobiegają powtórnemu dochodzeniu.