Que protocolos VPN o seu sistema operativo já fala?

Antes de descarregar outro cliente, veja o que o sistema operativo já implementa, porque a resposta costuma bastar para dispensar completamente o instalador. O Windows, o macOS e o ChromeOS trazem cada um uma lista fixa e curta de protocolos de túnel, e um gateway que fala um deles não precisa de qualquer controlador, serviço ou via de atualização adicional. Não é o nome do fornecedor no folheto que decide isto. Decidem o protocolo, a forma como o ponto final se autentica e o endereço que espera.

Peça o protocolo, não o nome do produto

O nome do produto diz muito pouco sobre o que passa no cabo. Dois gateways vendidos com a mesma etiqueta podem exigir túneis completamente diferentes, e um pode aceitar um cliente integrado enquanto o outro recusa tudo exceto o seu próprio portal. Dois administradores a descrever a mesma caixa podem discordar e ter ambos razão, porque descrevem camadas diferentes. O túnel por baixo é o que decide se é necessário um instalador.

Faça três perguntas a quem gere o gateway: que protocolo de túnel, que método de autenticação e que endereço e sufixo DNS o cliente tem de aceitar. Peça o protocolo pelo nome, e quando a resposta vier como nome de produto, explique porque precisa do protocolo. Essas três respostas resolvem a questão do cliente antes de ser descarregado qualquer software.

Há uma razão para o nome do produto sobreviver em tantos pedidos. O URL do portal é o que os utilizadores veem, e o túnel é invisível enquanto funciona. Escrever o protocolo na nota de passagem custa uma linha e remove a ambiguidade para todos os que vierem depois.

Onde para a lista integrada

As listas nativas são curtas, e as suas margens valem mais do que o conteúdo. Uma plataforma que fala L2TP sobre IPsec com uma chave pré-partilhada não falará SSTP, e é essa diferença que decide o cliente. A tabela está ordenada por túnel e não por fornecedor, por isso pode procurar o protocolo que o gateway nomeou.

Leia a tabela face aos requisitos do gateway e não face a um folheto. Se a resposta for L2TP sobre IPsec com uma chave pré-partilhada, as três primeiras plataformas ligam-se sem nada extra instalado. Se a resposta for OpenVPN, só o ChromeOS está coberto antes de instalar algo. Um protocolo que não aparece em nenhuma coluna integrada é o sinal honesto de que vem aí um instalador.

O Linux é a coluna que resiste à generalização. O seu suporte de protocolos vive em daemons e extensões que a distribuição escolhe empacotar, por isso uma imagem mínima pode não falar nenhum deles até os acrescentar, e duas distribuições com o mesmo ambiente de trabalho podem diferir.

Construa o perfil a partir da linha de comandos

Tudo o que o painel gráfico escreve é guardado num local a que pode chegar, e é isso que torna um perfil integrado automatizável. O Windows guarda as entradas VPN em .pbk ficheiros sob o perfil do utilizador e sob ProgramData, e o rasphone pode listar e editar entradas que a lista de rede não mostra. Isso conta quando uma máquina é preparada por script e ninguém vai clicar por um assistente. Também explica como um perfil pode existir sem nunca aparecer na área de notificação.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Editar à mão um .pbk ficheiro funciona, e é também a forma mais rápida de o corromper, por isso deixe a ferramenta ser dona do formato. O macOS guarda os seus serviços na configuração do sistema, e o networksetup dirige-se a eles pelo nome do serviço; várias opções querem um endereço em vez de um nome de anfitrião, por isso resolva primeiro o ponto final e guarde o valor que o cliente vai realmente usar. Essa distinção morde durante a automatização, porque um script que funciona com um endereço pode falhar com um nome, e o erro parece um gateway avariado em vez de um argumento recusado.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Os nomes de serviço estão localizados e são editáveis pelo utilizador, por isso um script que codifica Wi-Fi em duro quebra na primeira máquina configurada noutra língua. Leia o nome a partir do comando de lista e passe-o adiante em vez de adivinhar.

Certificados sem um cliente proprietário

Algumas implementações precisam de um certificado de cliente e de nada mais proprietário, e esse é o caso intermédio que vale a pena testar antes de aceitar um controlador. Colocar um certificado no armazenamento da plataforma é suportado; não é o mesmo ato que deixar cair uma raiz de fornecedor e confiar que o cliente a encontra. O primeiro é uma colocação deliberada; o segundo é um palpite com um pedido de suporte anexado.

O detalhe que apanha as pessoas é qual armazenamento o cliente lê. Um certificado no armazenamento do utilizador é invisível para um cliente configurado para o armazenamento da máquina, e a mensagem que recebe diz que falta o certificado, não que está no lugar errado. Verifique ambos os armazenamentos antes de concluir que o certificado está errado. Anote qual deles a configuração que funciona usa, porque essa nota sobrevive ao certificado quando a máquina é reconstruída.

O Windows separa explicitamente os dois armazenamentos, e o macOS separa o porta-chaves de início de sessão do porta-chaves do sistema. Os nomes diferem, mas o modo de falha é idêntico: um certificado válido que o cliente nunca olha.

O que obriga a um instalador

Alguns gateways ligam o cliente a um armazenamento de certificados privado, a um agente de postura ou a uma troca de início de sessão que o sistema operativo não consegue realizar. As implementações sobre hardware Check Point, Cisco ou Fortinet aterram frequentemente aí, e nelas o cliente integrado não é um atalho. Um substituto de terceiros pode ligar-se e ainda assim violar a política, o que torna isto uma decisão de segurança e não de comodidade. Instale o que a política exige e registe o motivo ao lado da versão do instalador.

Esse registo é a parte que as pessoas saltam e a parte que poupa uma semana ao administrador seguinte: protocolo, método de autenticação, família de endereços e sufixo exigido, com uma linha de justificação para cada binário que teve de ser acrescentado. Coloque-o onde vivem as notas do instalador e não num fio de conversa. Duas linhas de documentação evitam uma investigação repetida.