VPN profil samo sa PCF-om: šta pitati pre migracije

Neko vam uruči datoteku .pcf i laptop i očekuje da će veza raditi tačno kao pre godina. Obično neće, a format datoteke je retko razlog. PCF beleži parametre koji su starom Cisco VPN Clientu bili potrebni da dosegne jedan konkretan koncentrator; ne govori ništa o tome može li trenutni klijent još da razgovara sa tom uslugom. Datoteka je dokaz o prošloj vezi, a ne ugovor za sledeću.

Odvajanje tog dokaza od zahteva ceo je zadatak. Vlasnik gateway-a vam duguje podržanu kombinaciju klijenta, protokola, metoda autentifikacije i formata profila, a to je drugo pitanje od onoga da li će neka aplikacija otvoriti vaš stari profil.

Šta datoteka u vašoj ruci zapravo beleži

PCF je mali profil unosa veze: host ili par primarni i rezervni, naziv grupe i naznake kako klijent treba da predstavi akreditive. Ne nosi pregovaranje o protokolu, ni odluku o poverenju, ni tvrdnju o trenutnim mogućnostima gateway-a. Čitanje vam kaže gde je stari klijent zvao i pod kojim nazivom grupe, a taj deo je zaista koristan kontekst za onoga ko upravlja glavnim čvorištem.

Ono što vam ne može reći jeste da li usluga iza tog imena hosta još prihvata isti protokol ili da li račun postoji u obliku koji odgovara naznakama. Ti odgovori žive na gateway-u i u skladištu identiteta, pa pitajte tamo pre nego što gradite.

Tri zahteva koji izgledaju kao jedan

Prvi zahtev je kompatibilnost na žici: klijent mora da implementira protokol daljinskog pristupa koji gateway završava. Drugi je autentifikacija, gde metod koji gateway zahteva — sertifikat, grupne akreditive plus MFA ili EAP — mora biti onaj koji klijent zaista može da izvede. Treći je politika: podeljeni tunel, DNS, bazeni adresa i sve provere stanja, sve konfigurisano na gateway-u i dostavljeno klijentu u profilu koji mora da prihvati.

PCF pruža slab dokaz o drugom zahtevu i bitno nikakav o druga dva. Funkcija uvoza dodatno zamućuje granicu: klijent koji preslikava nasleđena polja u sopstveni format može uspeti pri uvozu, a ne uspeti pri povezivanju, a obrnuto je takođe moguće.

Pet pitanja koja daju upotrebljiv odgovor

Pošaljite pitanja umesto datoteke. Koja kombinacija usluge daljinskog pristupa i klijenta je danas podržana; koji protokol ta usluga predstavlja internetu; koji metod autentifikacije i put registracije važe; koji profil, koreni poverenja i grupna politika ili politika MFA idu uz to; i koji se delovi razlikuju od stare veze. Svaki odgovor odgovara jednom od tri zahteva gore.

Taj spisak pretvara raspravu o formatima datoteka u odluku o podršci i obično vraća link do dokumentacije i imenovanog vlasnika umesto sleganja ramenima. Takođe vam rano kaže da li je migracija novi profil prema postojećoj usluzi ili promena gateway-a koju niko još nije zakazao. Pitajte pismeno, jer odgovori postaju kriterijumi prihvatanja za sve što sledeće izgradite. Zadržite i stari naziv grupe u zahtevu, jer je to često najbrži način da operater pronađe odgovarajuću politiku.

Preimenovanje ništa ne prevodi

Cisco Secure Client dokumentuje XML profile sa sopstvenim izborom protokola, pa preimenovanje .pcf u .xml ne daje ni XML ni postavke. Lepljenje imena hosta u OpenVPN datoteku ne čini IPsec gateway govornikom OpenVPN-a, a izvorni IKEv2 klijent ne postaje kompatibilan sa starijom uslugom samo zato što se oba opisuju kao IPsec.

Svaki od tih poteza menja oznaku i ostavlja ponašanje na žici netaknutim, zbog čega rezultujući kvar izgleda nepovezano sa izmenom. Kada gateway ne može da ponudi ono što novi klijent implementira, iskrene opcije su klijent koji još govori stari protokol ili planirana migracija gateway-a. Nagađanje između njih košta nedeljama i ničemu ne uči.

Tretirajte stari profil kao osetljiv materijal

Stari profil može sadržati interno ime hosta, naziv grupe i ponekad sačuvane akreditive, što je upravo oblik stvari koje sakupljaju javni konverteri i forumske teme. Neka administrator pročita polja kroz odobren kanal umesto da datoteku bilo gde prenesete.

Oduprite se iskušenju da migraciju okačite o beta klijent, nepodržan gostujući sistem ili slabiju autentifikaciju odabranu da održi zastareli klijent na životu. Stare cene i stranice za preuzimanje nisu bolji dokaz od samog PCF-a, jer opisuju pravo iz druge ere, a ne ugovor koji vam sada treba.