Perfil VPN apenas com PCF: o que perguntar antes de migrar

Alguém entrega-lhe um ficheiro .pcf e um portátil e espera que a ligação funcione exatamente como há anos. Normalmente não funcionará, e o formato do ficheiro raramente é a causa. Um PCF registra os parâmetros de que um antigo Cisco VPN Client precisava para chegar a um concentrador específico; não diz nada sobre se um cliente atual ainda consegue falar com esse serviço. O ficheiro é prova de uma ligação passada, não um contrato para a seguinte.

Separar essa prova dos requisitos é toda a tarefa. O que o proprietário do gateway lhe deve é uma combinação suportada de cliente, protocolo, método de autenticação e formato de perfil, o que é uma questão diferente de saber se alguma aplicação abrirá o seu perfil antigo.

O que o ficheiro na sua mão realmente registra

Um PCF é um pequeno perfil de entradas de ligação: um host ou um par primário e de reserva, um nome de grupo e pistas sobre como o cliente deve apresentar as credenciais. Não contém negociação de protocolo, nem decisão de confiança, nem declaração das capacidades atuais do gateway. Lê-lo diz-lhe onde o cliente antigo marcava e com que nome de grupo, e essa parte é um contexto genuinamente útil para quem gere a extremidade principal.

O que não pode dizer-lhe é se o serviço por trás desse nome de host ainda aceita o mesmo protocolo, ou se a conta sobrevive numa forma que corresponda às pistas. Essas respostas vivem no gateway e no armazém de identidades, por isso pergunte lá antes de construir.

Três requisitos que parecem um

O primeiro requisito é a compatibilidade de rede: o cliente tem de implementar o protocolo de acesso remoto que o gateway termina. O segundo é a autenticação, em que o método exigido pelo gateway — certificado, credencial de grupo mais MFA, ou EAP — tem de ser um que o cliente consiga realmente executar. O terceiro é a política: túnel dividido, DNS, pools de endereços e quaisquer verificações de postura, tudo configurado no gateway e entregue ao cliente num perfil que ele tem de aceitar.

Um PCF oferece prova fraca sobre o segundo requisito e praticamente nenhuma sobre os outros dois. Uma funcionalidade de importação desfoca ainda mais o limite: um cliente que mapeia campos antigos para o seu próprio formato pode ter sucesso na importação e falhar na ligação, e o contrário também é possível.

Cinco perguntas que produzem uma resposta utilizável

Envie perguntas em vez do ficheiro. Que combinação de serviço de acesso remoto e cliente é suportada hoje; que protocolo esse serviço apresenta à internet; que método de autenticação e percurso de registo se aplicam; que perfil, âncoras de confiança e política de grupo ou MFA lhe correspondem; e que partes diferem da ligação antiga. Cada resposta corresponde a um dos três requisitos acima.

Essa lista transforma uma discussão sobre formatos de ficheiro numa decisão sobre suporte, e normalmente devolve uma ligação para a documentação e um responsável nomeado em vez de um encolher de ombros. Também lhe diz cedo se a migração é um perfil novo contra um serviço existente, ou uma alteração de gateway que ninguém agendou ainda. Pergunte por escrito, porque as respostas tornam-se os critérios de aceitação do que construir a seguir. Guarde também o nome de grupo antigo no ticket, pois é muitas vezes a via mais rápida para o operador localizar a política correspondente.

Mudar o nome não traduz nada

O Cisco Secure Client documenta perfis XML com as suas próprias escolhas de protocolo, por isso renomear um .pcf para .xml não produz nem XML nem definições. Colar um nome de host num ficheiro OpenVPN não faz um gateway IPsec falar OpenVPN, e um cliente IKEv2 nativo não se torna compatível com um serviço mais antigo só porque ambos são descritos como IPsec.

Cada um desses passos muda um rótulo e deixa o comportamento na rede intacto, e é por isso que a falha resultante parece alheia à alteração. Quando o gateway não pode oferecer o que o novo cliente implementa, as opções honestas são um cliente que ainda fala o protocolo antigo ou uma migração de gateway planeada. Adivinhar entre ambas custa semanas e não ensina nada.

Trate o perfil antigo como material sensível

Um perfil antigo pode conter um nome de host interno, um nome de grupo e por vezes material de credenciais armazenado, que é exatamente a forma de coisa que os conversores públicos e os tópicos de fórum recolhem. Peça a um administrador que leia os campos por um canal aprovado em vez de carregar o ficheiro para qualquer lugar.

Resista à tentação de fazer depender a migração de um cliente beta, de um sistema convidado não suportado ou de uma autenticação mais fraca escolhida para manter vivo um cliente obsoleto. Preços e páginas de descarregamento antigos não são melhor prova do que o próprio PCF, porque descrevem um direito de outra era e não o contrato de que agora precisa.