VPN profil len s PCF: na čo sa pýtať pred migráciou

Niekto vám podá súbor .pcf a notebook a očakáva, že spojenie bude fungovať presne ako pred rokmi. Zvyčajne nebude, a formát súboru je príčinou len zriedka. PCF zaznamenáva parametre, ktoré starý Cisco VPN Client potreboval na dosiahnutie jedného konkrétneho koncentrátora; nehovorí nič o tom, či s touto službou dnešný klient ešte dokáže hovoriť. Súbor je dôkaz o minulom spojení, nie zmluva pre to nasledujúce.

Oddeliť tento dôkaz od požiadaviek je celá úloha. Vlastník brány vám dlhuje podporovanú kombináciu klienta, protokolu, metódy overovania a formátu profilu, čo je iná otázka než to, či nejaká aplikácia otvorí váš starý profil.

Čo súbor vo vašej ruke skutočne zaznamenáva

PCF je malý profil položiek pripojenia: hostiteľ alebo dvojica primárny a záložný, názov skupiny a pokyny, ako má klient predkladať prihlasovacie údaje. Nenesie žiadne vyjednávanie protokolu, žiadne rozhodnutie o dôvere a žiadne tvrdenie o súčasných schopnostiach brány. Prečítanie vám povie, kam starý klient volal a pod akým názvom skupiny, a táto časť je naozaj užitočný kontext pre toho, kto spravuje hlavný uzol.

Čo vám povedať nedokáže, je to, či služba za týmto názvom hostiteľa stále prijíma ten istý protokol, alebo či účet pretrváva vo forme, ktorá zodpovedá pokynom. Tie odpovede žijú na bráne a v úložišti identít, tak sa pýtajte tam, kým začnete stavať.

Tri požiadavky, ktoré vyzerajú ako jedna

Prvá požiadavka je kompatibilita na linke: klient musí implementovať protokol vzdialeného prístupu, ktorý brána ukončuje. Druhá je overovanie, kde metóda, ktorú brána vyžaduje — certifikát, skupinové prihlasovacie údaje plus MFA, alebo EAP — musí byť taká, ktorú klient skutočne dokáže vykonať. Tretia je politika: rozdelený tunel, DNS, fondy adries a akékoľvek kontroly stavu, všetko nakonfigurované na bráne a klientovi doručené v profile, ktorý musí prijať.

PCF ponúka slabý dôkaz o druhej požiadavke a v podstate žiadny o zvyšných dvoch. Funkcia importu hranicu ďalej rozmazáva: klient, ktorý mapuje staršie polia do vlastného formátu, môže pri importe uspieť, ale nepripojiť sa, a opak je tiež možný.

Päť otázok, ktoré dajú použiteľnú odpoveď

Pošlite otázky namiesto súboru. Ktorá kombinácia služby vzdialeného prístupu a klienta je dnes podporovaná; ktorý protokol táto služba vystavuje do internetu; ktorá metóda overovania a cesta registrácie platia; ktorý profil, korene dôvery a skupinová politika alebo politika MFA k tomu patria; a ktoré časti sa líšia od starého spojenia. Každá odpoveď zodpovedá jednej z troch požiadaviek vyššie.

Tento zoznam mení diskusiu o formátoch súborov na rozhodnutie o podpore a zvyčajne vráti odkaz na dokumentáciu a menovite určeného vlastníka namiesto pokrčenia ramien. Tiež vám skoro povie, či je migrácia novým profilom voči existujúcej službe, alebo zmenou brány, ktorú ešte nikto nenaplánoval. Pýtajte sa písomne, pretože odpovede sa stanú akceptačnými kritériami pre to, čo budete stavať ďalej. Ponechajte v tikete aj starý názov skupiny, pretože to je často najrýchlejšia cesta, ako operátor nájde zodpovedajúcu politiku.

Premenovanie nič nepreloží

Cisco Secure Client dokumentuje profily XML s vlastnými voľbami protokolu, takže premenovanie .pcf na .xml neprináša ani XML, ani nastavenia. Vloženie názvu hostiteľa do súboru OpenVPN neurobí z brány IPsec hovoriaceho OpenVPN a natívny klient IKEv2 sa nestane kompatibilným so staršou službou len preto, že sa oba opisujú ako IPsec.

Každý z týchto krokov mení štítok a správanie na linke necháva nedotknuté, a preto výsledná porucha vyzerá nesúvisiaca s úpravou. Keď brána nemôže ponúknuť to, čo nový klient implementuje, poctivé možnosti sú klient, ktorý stále hovorí starým protokolom, alebo plánovaná migrácia brány. Hádanie medzi nimi stojí týždne a nič nenaučí.

Berte starý profil ako citlivý materiál

Starý profil môže obsahovať interný názov hostiteľa, názov skupiny a niekedy uložené prihlasovacie údaje, čo je presne to, čo zbierajú verejné konvertory a vlákna na fórach. Nechajte správcu prečítať polia schváleným kanálom, namiesto nahrávania súboru kamkoľvek.

Odolajte pokušeniu postaviť migráciu na beta klientovi, nepodporovanom hosťovskom systéme alebo slabšom overovaní zvolenom na to, aby udržalo zastaraného klienta pri živote. Staré ceny a stránky na stiahnutie nie sú lepším dôkazom než samotný PCF, pretože opisujú oprávnenie z inej éry, nie zmluvu, ktorú teraz potrebujete.