VPN-профиль только с PCF: что спросить перед миграцией

Кто-то передаёт вам файл .pcf и ноутбук и ждёт, что подключение будет работать точно так же, как годы назад. Обычно этого не случится, и формат файла редко бывает причиной. PCF записывает параметры, которые были нужны старому Cisco VPN Client, чтобы добраться до одного конкретного концентратора; он ничего не говорит о том, может ли нынешний клиент по-прежнему говорить с этим сервисом. Файл — свидетельство о прошлом подключении, а не договор на следующее.

Отделить это свидетельство от требований — и есть вся задача. Владелец шлюза должен вам поддерживаемую комбинацию клиента, протокола, метода аутентификации и формата профиля, а это другой вопрос, нежели откроет ли какое-то приложение ваш старый профиль.

Что на самом деле фиксирует файл в ваших руках

PCF — это небольшой профиль из записей подключения: хост или пара основной и резервный, имя группы и подсказки о том, как клиент должен предъявлять учётные данные. В нём нет ни согласования протокола, ни решения о доверии, ни заявления о текущих возможностях шлюза. Чтение говорит вам, куда и под каким именем группы звонил старый клиент, и эта часть — действительно полезный контекст для того, кто отвечает за головной узел.

Чего он сказать не может, так это принимает ли сервис за этим именем хоста тот же протокол и существует ли учётная запись в форме, соответствующей подсказкам. Эти ответы живут на шлюзе и в хранилище идентификаций, поэтому спросите там до того, как строить.

Три требования, которые выглядят как одно

Первое требование — совместимость на уровне сети: клиент должен реализовывать протокол удалённого доступа, который завершает шлюз. Второе — аутентификация, где метод, которого требует шлюз, будь то сертификат, групповая учётная запись вместе с MFA или EAP, должен быть таким, который клиент действительно может выполнить. Третье — политика: разделённый туннель, DNS, пулы адресов и любые проверки состояния, всё настроено на шлюзе и передано клиенту в профиле, который он обязан принять.

PCF даёт слабое свидетельство о втором требовании и практически никакого о двух других. Функция импорта ещё сильнее размывает границу: клиент, который переносит старые поля в свой формат, может успешно импортировать и при этом не подключиться, и обратное тоже возможно.

Пять вопросов, которые дают пригодный ответ

Отправляйте вопросы, а не файл. Какая комбинация сервиса удалённого доступа и клиента поддерживается сегодня; какой протокол этот сервис показывает в интернет; какой метод аутентификации и путь регистрации действуют; какой профиль, какие корни доверия и какая групповая политика или политика MFA к ним относятся; и какие части отличаются от старого подключения. Каждый ответ соответствует одному из трёх требований выше.

Этот список превращает разговор о форматах файлов в решение о поддержке и обычно возвращает ссылку на документацию и названного ответственного вместо пожатия плечами. Он также заранее говорит, является ли миграция новым профилем против существующего сервиса или изменением шлюза, которое ещё никто не запланировал. Спросите письменно, потому что ответы становятся критериями приёмки того, что вы построите дальше. Сохраните в заявке и старое имя группы, так как это часто самый быстрый способ для оператора найти подходящую политику.

Переименование ничего не переводит

Cisco Secure Client документирует профили XML со своими собственными вариантами протокола, поэтому переименование .pcf в .xml не даёт ни XML, ни настроек. Вставка имени хоста в файл OpenVPN не заставляет шлюз IPsec говорить по OpenVPN, а встроенный клиент IKEv2 не становится совместимым со старым сервисом только потому, что оба описываются как IPsec.

Каждый из этих шагов меняет ярлык и оставляет поведение в сети нетронутым, поэтому возникший сбой выглядит не связанным с правкой. Когда шлюз не может предложить то, что реализует новый клиент, честные варианты — клиент, который всё ещё говорит по старому протоколу, или запланированная миграция шлюза. Угадывание между ними стоит недель и ничему не учит.

Относитесь к старому профилю как к чувствительному материалу

Старый профиль может содержать внутреннее имя хоста, имя группы и иногда сохранённые учётные данные, а это именно та форма, которую собирают публичные конвертеры и темы форумов. Пусть администратор прочитает поля через одобренный канал, вместо того чтобы куда-то загружать файл.

Сопротивляйтесь соблазну поставить миграцию в зависимость от бета-клиента, неподдерживаемой гостевой системы или более слабой аутентификации, выбранной ради того, чтобы поддержать жизнь устаревшего клиента. Старые цены и страницы загрузки — не лучшее свидетельство, чем сам PCF, потому что они описывают право из другой эпохи, а не договор, который нужен вам сейчас.