Ktoré VPN protokoly váš operačný systém už pozná?

Skôr než stiahnete ďalšieho klienta, pozrite sa, čo operačný systém už implementuje, pretože odpoveď často stačí na to, aby ste inštalátor úplne vynechali. Windows, macOS a ChromeOS dodávajú pevný a krátky zoznam tunelových protokolov a brána, ktorá hovorí jedným z nich, nepotrebuje žiadny ďalší ovládač, službu ani cestu aktualizácie. Nerozhoduje o tom meno výrobcu na brožúre. Rozhodujú protokol, spôsob overenia koncového bodu a adresa, ktorú očakáva.

Pýtajte sa na protokol, nie na názov produktu

Názov produktu hovorí o tom, čo prechádza drôtom, veľmi málo. Dve brány predávané pod rovnakou značkou môžu vyžadovať úplne iné tunely a jedna môže prijímať vstavaného klienta, kým druhá odmieta všetko okrem vlastného portálu. Dvaja správcovia opisujúci tú istú krabicu sa môžu nezhodnúť a obaja mať pravdu, pretože opisujú rôzne vrstvy. Tunel pod tým rozhoduje o tom, či je inštalátor potrebný.

Položte tri otázky tomu, kto spravuje bránu: ktorý tunelový protokol, ktorý spôsob overovania a ktorú adresu a príponu DNS musí klient prijať. Pýtajte sa na protokol podľa názvu a keď odpoveď príde ako názov produktu, vysvetlite, prečo potrebujete protokol. Tie tri odpovede vyriešia otázku klienta skôr, než sa stiahne akýkoľvek softvér.

Má to dôvod, prečo názov produktu prežíva v toľkých tiketoch. URL portálu je to, čo používatelia vidia, a tunel je neviditeľný, kým funguje. Zapísať protokol do odovzdávacej poznámky stojí jeden riadok a odstraňuje nejednoznačnosť pre každého, kto príde neskôr.

Kde sa vstavaný zoznam končí

Natívne zoznamy sú krátke a ich okraje sú dôležitejšie než obsah. Platforma, ktorá hovorí L2TP cez IPsec s vopred zdieľaným kľúčom, nebude hovoriť SSTP, a tento rozdiel rozhoduje o klientovi. Tabuľka je zoradená podľa tunela, nie podľa výrobcu, takže si môžete vyhľadať protokol, ktorý brána uviedla.

Čítajte tabuľku proti požiadavkám brány, nie proti brožúre. Ak je odpoveď L2TP cez IPsec s vopred zdieľaným kľúčom, prvé tri platformy sa pripoja bez čohokoľvek ďalšieho nainštalovaného. Ak je odpoveď OpenVPN, pred inštaláciou čohokoľvek je pokrytý iba ChromeOS. Protokol, ktorý sa neobjavuje v žiadnom vstavanom stĺpci, je úprimný signál, že prichádza inštalátor.

Linux je stĺpec, ktorý vzdoruje zovšeobecňovaniu. Jeho podpora protokolov žije v démonoch a doplnkoch, ktoré sa distribúcia rozhodne zabaliť, takže minimálny obraz nemusí hovoriť žiadnym z nich, kým ich nepridáte, a dve distribúcie s rovnakou plochou sa môžu líšiť.

Zostavte profil z príkazového riadka

Všetko, čo grafický panel zapíše, je uložené niekde, kam sa dostanete, a práve to robí vstavaný profil automatizovateľným. Windows drží položky VPN v .pbk súboroch pod profilom používateľa a pod ProgramData, a rasphone dokáže vypísať a upraviť položky, ktoré zoznam sietí nezobrazuje. To je dôležité, keď sa stroj pripravuje skriptom a nikto nebude preklikávať sprievodcu. Vysvetľuje to aj to, ako môže profil existovať bez toho, aby sa kedy objavil v oznamovacej oblasti.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ručná úprava .pbk súboru funguje a je aj najrýchlejším spôsobom, ako ho poškodiť, takže nechajte formát nástroju. macOS drží svoje služby v systémovej konfigurácii a networksetup ich oslovuje podľa názvu služby; niekoľko prepínačov chce adresu namiesto názvu hostiteľa, takže najprv preložte koncový bod a uložte hodnotu, ktorú klient skutočne použije. Ten rozdiel hryzie pri automatizácii, pretože skript, ktorý funguje s adresou, môže zlyhať s názvom, a chyba vyzerá ako pokazená brána, nie ako odmietnutý argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Názvy služieb sú lokalizované a používateľ ich môže upravovať, takže skript, ktorý natvrdo kóduje Wi-Fi sa pokazí na prvom stroji nastavenom na iný jazyk. Čítajte názov z príkazu zoznamu a odovzdajte ho ďalej, namiesto hádania.

Certifikáty bez proprietárneho klienta

Niektoré nasadenia potrebujú klientsky certifikát a nič iné proprietárne, a to je stredný prípad, ktorý stojí za otestovanie, kým prijmete ovládač. Umiestnenie certifikátu do úložiska platformy je podporované; nie je to ten istý úkon ako hodiť tam koreň výrobcu a veriť, že ho klient nájde. Prvé je zámerné umiestnenie; druhé je odhad s priloženým tiketom podpory.

Detail, ktorý ľudí chytí, je to, ktoré úložisko klient číta. Certifikát v používateľskom úložisku je pre klienta nastaveného na úložisko stroja neviditeľný a správa, ktorú dostanete, hovorí, že certifikát chýba, nie že leží na nesprávnom mieste. Skontrolujte obe úložiská, kým usúdite, že certifikát je nesprávny. Zapíšte, ktoré z nich funkčná konfigurácia používa, pretože tá poznámka prežije certifikát, keď sa stroj prestavia.

Windows obe úložiská výslovne oddeľuje a macOS oddeľuje zväzok kľúčov prihlásenia od systémového zväzku kľúčov. Názvy sa líšia, ale režim zlyhania je rovnaký: platný certifikát, na ktorý sa klient nikdy nepozrie.

Čo vynúti inštalátor

Niektoré brány viažu klienta na súkromné úložisko certifikátov, agenta stavu alebo výmenu prihlásenia, ktorú operačný systém nedokáže vykonať. Nasadenia na hardvéri Check Point, Cisco alebo Fortinet tam často končia a v nich vstavaný klient nie je skratkou. Náhrada tretej strany sa môže pripojiť a napriek tomu porušiť politiku, čo z toho robí rozhodnutie o bezpečnosti, nie o pohodlí. Nainštalujte, čo politika vyžaduje, a zapíšte dôvod vedľa verzie inštalátora.

Ten záznam je časť, ktorú ľudia preskakujú, a časť, ktorá ušetrí ďalšiemu správcovi týždeň: protokol, spôsob overovania, rodina adries a požadovaná prípona, s jedným riadkom odôvodnenia pre každý binárny súbor, ktorý bolo treba pridať. Umiestnite ho tam, kde žijú poznámky k inštalátoru, nie do chatovej vlákny. Dva riadky dokumentácie zabránia opakovanému vyšetrovaniu.