Može li jedna VPN usluga pokriti Windows, Mac i Linux radne površine?

Tri prijenosna računala u istom timu, tri različita VPN izbornika i zahtjev koji kaže da veza radi svugdje osim na Macu. Plan iza tih klijenata može biti identičan čak i kad izbornici nisu. Ono što se mora poravnati uže je od pretpostavke većine uvođenja: jedan identitet pristupnika, jedna vrsta vjerodajnica, jedan skup ruta i jedna politika razrješivača. Zapišite te četiri stvari prije nego što itko izveze profil i rad na platformama pretvara se u kontrolni popis umjesto u istragu.

Počnite od ugovora o pristupu, a ne od datoteke klijenta

Ugovor o pristupu pet je redaka koje recenzent može provjeriti bez otvaranja dobavljačke konzole. Navodi privatne prefikse koji moraju biti dosežni, interna imena koja se moraju razriješiti, razrješivač koji na njih odgovara, promet koji smije ostati na lokalnoj putanji i certifikat pristupnika koji klijent treba očekivati. Sve ostalo u uvođenju prijevod je tih redaka u format datoteke.

Primjer iz ureda oblik čini konkretnim: poslužitelji aplikacija u 10.60.0.0/16, privatna imena pod corp.example, interni razrješivač na 10.61.0.53, a obično pregledavanje ostaje na putanji koju uređaj već koristi. Posljednja je stavka odluka politike, a ne zadana vrijednost klijenta, i nekoliko će klijenata poslati sve kroz tunel ako nitko ne kaže drukčije. Zabilježite ugovor s datumom i vlasnikom, jer upravo taj zapis kasnije govori je li se promijenio tunel ili politika.

Odaberite jedan protokol i jedan par provjere autentičnosti koji možete braniti

IKEv2 s provjerom autentičnosti pristupnika na temelju certifikata i EAP za korisnika uobičajen je izbor kad sve tri platforme moraju raditi bez dodatnog softvera, jer Windows, macOS i NetworkManager svaki isporučuju IKEv2 klijenta. Nevolja je u tome što podrška za IKEv2 opisuje oznaku, a ne skup značajki. EAP metode, hardverski podržani ključevi, preslikavanje certifikata u račun i automatsko ponovno povezivanje implementiraju se po platformi. Kombinacija koja radi na dvije od tri dovoljno je česta da je treba pretpostaviti dok se ne testira.

Testirajte par na svakoj ciljnoj platformi prije pisanja vodiča za uvođenje, a ne poslije. Pristupnik koji nudi i EAP-MSCHAPv2 i EAP-TLS daje prostor za rezervnu putanju, pod uvjetom da je ta rezervna putanja dokumentirana kao podržana, a ne otkrivena tijekom incidenta. Dvije podržane putanje jeftino su osiguranje; nedokumentirana treća putanja budući je zahtjev.

Kad nijedan par ne pokriva sva tri klijenta, poštene su mogućnosti dodati klijenta, dodati profil na pristupniku ili suziti popis podržanih platformi. Isključivanje provjere certifikata na platformi koja se najglasnije žali nije jedna od njih. Ta promjena pretvara jaz u kompatibilnosti u rizik presretanja i nijedan je kasniji korak uvođenja ne popravlja.

Izradite po jedan artefakt na platformu iz ugovora

Windows rabi profil VPNv2, dostavljen preko MDM-a ili stvoren lokalno pomoću Add-VpnConnection i njegova XML tereta. Grizu dvije stvari: opseg i povjerenje. Profil s opsegom uređaja i profil s opsegom korisnika instaliraju se u različita spremišta, pa certifikat koji klijent treba mora stajati u spremištu koje odgovara odabranom opsegu. Pogrešno uparivanje daje profil koji se čisto uvozi i zatim pada na prvom spajanju.

macOS rabi konfiguracijski profil s upravljanim VPN teretom, potpisan i distribuiran preko MDM-a ili ručno instaliran za pilot. Identitet i CA lanac putuju kao zasebni tereti, zato se profil može instalirati bez prigovora i ipak pasti u trenutku spajanja. Provjerite popis tereta, ne samo rezultat instalacije.

Linux ovisi o pozadini iza NetworkManagera, a strongSwan i dodatak za NetworkManager zasebni su paketi. Svojstva veze specifična su za dodatak, a ne opći VPN ključevi, pa se ključ prepisan iz drugog dodatka često spremi bez pogreške i zatim padne pri aktivaciji. Izradite vezu na čistoj slici da potvrdite da je dodatak prisutan ondje gdje će se doista izvoditi.

Tri se artefakta razlikuju po formatu, ali svaki kodira istih pet redaka ugovora. To je test je li artefakt dovršen: svaki je redak negdje zastupljen i ništa dodatno nije izmišljeno usput.

Provjerite rute, razrješivač i ponovno povezivanje na čistom računu

Povezano nije prihvatni test. Na Windowsu Get-VpnConnection prikazuje profil, a route print pokazuje je li privatni prefiks sletio na sučelje tunela. Na macOS-u scutil --nc list potvrđuje aktivnu uslugu, dok scutil --dns pokazuje redoslijed razrješivača koji će sustav doista rabiti.

Na Linuxu nmcli connection show --active dokazuje da je veza aktivna, a resolvectl status pokazuje DNS po vezi. Razrješivač prisutan u datoteci veze, ali odsutan u izlazu po vezi, znači da se podijeljeni DNS ne primjenjuje. To je razlika između imena koja se razrješuju i imena koja se razrješuju kroz tunel i mijenja to koji tim za podršku preuzima sljedeći korak. Usporedite izlaz po vezi prije i nakon što se veza podigne, ne samo poslije.

Provedite cijelu provjeru na novom računu, bez predmemoriranih vjerodajnica i bez certifikata koji je instalirao administrator. Zatim je ponovite nakon obustave i nastavka te još jednom nakon prisilnog ponovnog unosa vjerodajnica. Ta dva prijelaza otkrivaju većinu pogrešaka ponovnog povezivanja koje prvo spajanje nikad ne pokaže.

Verzionirajte paket i zadržite putanju vraćanja

Označite svaki paket platforme revizijom ugovora koju provodi i zabilježite verzije klijenta i pristupnika s kojima ste ga prihvatili. Kad se ponašanje promijeni nakon ažuriranja klijenta, oznaka pokazuje na ugovor koji treba ponovno testirati, a ne na datoteku o kojoj treba nagađati.

Držite prethodni paket svake platforme dostupnim i uz njega napišite naredbu za uklanjanje. Deinstalacija VPN profila nije zrcalna slika instalacije na Windowsu, macOS-u ni Linuxu, a razlike se pokažu u najgorem trenutku. Jednom uvježbajte uklanjanje na rezervnom uređaju da arhiva postane plan, a ne nada.