Dokáže jedna služba VPN pokryť počítače s Windows, Mac a Linux?

Tri notebooky v jednom tíme, tri rôzne ponuky VPN a tiket, ktorý hovorí, že pripojenie funguje všade okrem Macu. Plán za týmito klientmi môže byť rovnaký, aj keď ponuky nie sú. Zhodovať sa musí menej, než predpokladá väčšina zavedení: jedna identita brány, jeden typ prihlasovacích údajov, jedna sada trás a jedna politika resolvera. Zapíšte tieto štyri body skôr, než niekto exportuje profil, a práca s platformami sa zmení na kontrolný zoznam namiesto vyšetrovania.

Začnite kontraktom prístupu, nie súborom klienta

Kontrakt prístupu má päť riadkov, ktoré recenzent overí bez otvorenia konzoly dodávateľa. Vymenúva privátne prefixy, ku ktorým sa musí dať dostať , interné názvy, ktoré sa musia rozlišovať, resolver, ktorý na ne odpovedá, prevádzku, ktorá môže zostať na lokálnej ceste, a certifikát brány, ktorý má klient očakávať. Všetko ostatné v zavedení je prekladom týchto riadkov do formátu súboru.

Príklad z kancelárie robí tvar konkrétnym: aplikačné servery v 10.60.0.0/16, privátne názvy pod corp.example, interný resolver na 10.61.0.53 a bežné prehliadanie zostáva na ceste, ktorú zariadenie už používa. Posledný bod je rozhodnutie politiky, nie predvolené správanie klienta, a viacero klientov pošle všetko tunelom, ak nikto nepovie inak. Zaznamenajte kontrakt s dátumom a vlastníkom, pretože práve tento záznam vám neskôr povie, či sa zmenil tunel alebo politika.

Vyberte jeden protokol a jeden pár overovania, ktorý dokážete obhájiť

IKEv2 s overovaním brány založeným na certifikátoch a EAP pre používateľa je zvyčajná voľba, keď musia všetky tri platformy fungovať bez ďalšieho softvéru, pretože Windows, macOS aj NetworkManager dodávajú klienta IKEv2. Problém je, že podpora IKEv2 opisuje označenie, nie sadu funkcií. Metódy EAP, kľúče podporené hardvérom, mapovanie certifikátu na účet a automatické opätovné pripojenie sa implementujú na každej platforme zvlášť. Kombinácia, ktorá funguje na dvoch z troch, je dosť bežná na to, aby ste ju považovali za danú, kým ju neotestujete.

Otestujte pár na každej cieľovej platforme pred napísaním sprievodcu nasadením, nie po ňom. Brána, ktorá ponúka EAP-MSCHAPv2 aj EAP-TLS, vám dáva priestor na záložnú cestu, za predpokladu, že je táto záložná cesta zdokumentovaná ako podporovaná a nie objavená počas incidentu. Dve podporované cesty sú lacné poistenie; nezdokumentovaná tretia cesta je budúci tiket.

Keď žiadny pár nepokrýva všetkých troch klientov, čestné možnosti sú pridať klienta, pridať profil na bráne alebo zúžiť zoznam podporovaných platforiem. Vypnutie overovania certifikátov na platforme, ktorá sa sťažuje najhlasnejšie, medzi ne nepatrí. Taká zmena mení medzeru v kompatibilite na riziko zachytenia a žiadny neskorší krok zavedenia ju nenapraví.

Zostavte jeden artefakt na platformu z kontraktu

Windows používa profil VPNv2, doručovaný cez MDM alebo vytvorený lokálne pomocou Add-VpnConnection a jeho XML obsahu. Hryzú dve veci: rozsah a dôvera. Profil s rozsahom zariadenia a profil s rozsahom používateľa sa inštalujú do rôznych úložísk, takže certifikát, ktorý klient potrebuje, musí ležať v úložisku zodpovedajúcom zvolenému rozsahu. Chyba v tomto párovaní dá profil, ktorý sa importuje čisto a potom zlyhá pri prvom pripojení.

macOS používa konfiguračný profil so spravovaným obsahom VPN, podpísaný a distribuovaný cez MDM alebo nainštalovaný ručne pre pilot. Identita a reťazec CA cestujú ako samostatné obsahy, a preto sa profil môže nainštalovať bez sťažností a napriek tomu zlyhať v okamihu pripojenia. Kontrolujte zoznam obsahov, nielen výsledok inštalácie.

Linux závisí od backendu za NetworkManagerom a strongSwan spolu s doplnkom NetworkManager sú samostatné balíky. Vlastnosti pripojenia sú špecifické pre doplnok, nie všeobecné kľúče VPN, takže kľúč skopírovaný z iného doplnku sa často uloží bez chyby a potom zlyhá pri aktivácii. Zostavte pripojenie na čistom obraze, aby ste potvrdili, že doplnok je tam, kde bude skutočne bežať.

Tri artefakty sa líšia formátom, ale každý kóduje tých istých päť riadkov kontraktu. To je test, či je artefakt hotový: každý riadok je niekde zastúpený a po ceste nebolo vymyslené nič navyše.

Overte trasy, resolver a opätovné pripojenie na čistom účte

Pripojené nie je akceptačný test. Vo Windows Get-VpnConnection zobrazuje profil a route print ukazuje, či sa privátny prefix dostal na rozhranie tunela. V macOS scutil --nc list potvrdzuje aktívnu službu, zatiaľ čo scutil --dns ukazuje poradie resolverov, ktoré systém skutočne použije.

V Linuxe nmcli connection show --active dokazuje, že pripojenie je aktívne, a resolvectl status ukazuje DNS na rozhranie. Resolver prítomný v konfigurácii pripojenia, ale chýbajúci vo výstupe na rozhranie, znamená, že rozdelený DNS sa neuplatňuje. To je rozdiel medzi názvami, ktoré sa rozlišujú, a názvami, ktoré sa rozlišujú cez tunel, a mení to, ktorý tím podpory prevezme ďalší krok. Porovnávajte výstup na rozhranie pred a po zdvihnutí pripojenia, nielen po ňom.

Vykonajte celú kontrolu na novom účte, bez uložených prihlasovacích údajov a bez certifikátu nainštalovaného správcom. Potom ju zopakujte po uspaní a prebudení a ešte raz po vynútenom opätovnom zadaní údajov. Tie dva prechody odhalia väčšinu zlyhaní opätovného pripojenia, ktoré prvé pripojenie nikdy neukáže.

Verzionujte balík a udržiavajte cestu späť

Označte každý balík platformy revíziou kontraktu, ktorú implementuje, a poznamenajte verzie klienta a brány, s ktorými ste ho prijali. Keď sa správanie po aktualizácii klienta zmení, značka ukazuje na kontrakt na opätovné otestovanie, nie na súbor na hádanie.

Udržiavajte predchádzajúci balík každej platformy dostupný a napíšte vedľa neho príkaz na odstránenie. Odinštalovanie profilu VPN nie je zrkadlovým obrazom inštalácie vo Windows, macOS ani Linuxe a rozdiely sa ukážu v najhoršom možnom momente. Precvičte odstránenie raz na záložnom zariadení, aby sa archív stal plánom a nie nádejou.