Profil VPN doar cu PCF: ce trebuie întrebat înainte de migrare

Cineva îți înmânează un fișier .pcf și un laptop și se așteaptă ca conexiunea să funcționeze exact ca acum câțiva ani. De obicei nu va funcționa, iar formatul fișierului este rareori cauza. Un PCF înregistrează parametrii de care avea nevoie un vechi Cisco VPN Client pentru a ajunge la un anumit concentrator; nu spune nimic despre dacă un client actual mai poate vorbi cu acel serviciu. Fișierul este o dovadă despre o conexiune trecută, nu un contract pentru următoarea.

Separarea acestei dovezi de cerințe este toată sarcina. Proprietarul gateway-ului îți datorează o combinație acceptată de client, protocol, metodă de autentificare și format de profil, iar aceasta este o altă întrebare decât dacă o aplicație îți va deschide vechiul profil.

Ce înregistrează de fapt fișierul din mâna ta

Un PCF este un profil mic de intrări de conexiune: un host sau o pereche primar și de rezervă, un nume de grup și indicii despre cum ar trebui clientul să prezinte acreditările. Nu conține negocierea protocolului, nicio decizie de încredere și nicio declarație despre capacitățile actuale ale gateway-ului. Citirea lui îți spune unde apela clientul vechi și sub ce nume de grup, iar acea parte este un context cu adevărat util pentru cel care deține capătul principal.

Ce nu poate spune este dacă serviciul din spatele acelui nume de host mai acceptă același protocol sau dacă contul supraviețuiește într-o formă care se potrivește cu indiciile. Acele răspunsuri se află pe gateway și în depozitul de identități, așa că întreabă acolo înainte de a construi.

Trei cerințe care par una singură

Prima cerință este compatibilitatea în rețea: clientul trebuie să implementeze protocolul de acces la distanță pe care gateway-ul îl termină. A doua este autentificarea, unde metoda cerută de gateway — certificat, acreditări de grup plus MFA sau EAP — trebuie să fie una pe care clientul o poate executa cu adevărat. A treia este politica: tunel divizat, DNS, pool-uri de adrese și orice verificări de postură, toate configurate pe gateway și livrate clientului într-un profil pe care trebuie să îl accepte.

Un PCF oferă dovezi slabe despre a doua cerință și practic niciuna despre celelalte două. O funcție de import estompează și mai mult granița: un client care mapează câmpuri vechi în propriul format poate reuși la import, dar nu la conectare, iar inversul este de asemenea posibil.

Cinci întrebări care produc un răspuns utilizabil

Trimite întrebări în locul fișierului. Ce combinație de serviciu de acces la distanță și client este acceptată astăzi; ce protocol prezintă acel serviciu internetului; ce metodă de autentificare și cale de înregistrare se aplică; ce profil, ancore de încredere și politică de grup sau MFA îi corespund; și ce părți diferă de conexiunea veche. Fiecare răspuns corespunde uneia dintre cele trei cerințe de mai sus.

Acea listă transformă o discuție despre formate de fișier într-o decizie despre suport și returnează de obicei un link către documentație și un responsabil numit în loc de o ridicare din umeri. Îți spune și devreme dacă migrarea este un profil nou față de un serviciu existent sau o schimbare de gateway pe care nimeni nu a programat-o încă. Întreabă în scris, pentru că răspunsurile devin criteriile de acceptare pentru ce construiești mai departe. Păstrează și numele vechi al grupului în tichet, fiindcă este adesea cea mai rapidă cale pentru operator de a găsi politica potrivită.

Redenumirea nu traduce nimic

Cisco Secure Client documentează profiluri XML cu propriile opțiuni de protocol, așa că redenumirea unui .pcf în .xml nu produce nici XML, nici setări. Lipirea unui nume de host într-un fișier OpenVPN nu face un gateway IPsec să vorbească OpenVPN, iar un client IKEv2 nativ nu devine compatibil cu un serviciu mai vechi doar pentru că ambele sunt descrise ca IPsec.

Fiecare dintre acești pași schimbă o etichetă și lasă comportamentul în rețea neatins, de aceea eșecul rezultat pare fără legătură cu modificarea. Când gateway-ul nu poate oferi ce implementează noul client, opțiunile oneste sunt un client care mai vorbește protocolul vechi sau o migrare planificată a gateway-ului. Ghicitul între ele costă săptămâni și nu te învață nimic.

Tratează profilul vechi ca material sensibil

Un profil vechi poate conține un nume de host intern, un nume de grup și uneori material de acreditări stocat, exact forma de lucru pe care o colectează convertoarele publice și firele de forum. Cere unui administrator să citească câmpurile printr-un canal aprobat, în loc să încarci fișierul oriunde.

Rezistă tentației de a face migrarea dependentă de un client beta, de un sistem invitat neacceptat sau de o autentificare mai slabă aleasă pentru a ține în viață un client învechit. Prețurile și paginile de descărcare vechi nu sunt dovezi mai bune decât PCF-ul însuși, pentru că descriu un drept din altă epocă, nu contractul de care ai nevoie acum.