Ali lahko ena storitev VPN pokrije namizja Windows, Mac in Linux?

Trije prenosniki v eni ekipi, tri različni meniji VPN in zahtevek, ki pravi, da povezava deluje povsod razen na Macu. Načrt za temi odjemalci je lahko enak, tudi ko meniji niso. Ujemati se mora manj, kot predpostavlja večina uvedb: ena identiteta prehoda, ena vrsta poverilnic, en niz poti in ena politika razreševalnika. Zapišite te štiri točke, preden kdo izvozi profil, in delo s platformami se spremeni v kontrolni seznam namesto preiskave.

Začnite s pogodbo o dostopu, ne z datoteko odjemalca

Pogodba o dostopu je pet vrstic, ki jih pregledovalec lahko preveri brez odpiranja dobaviteljeve konzole. Navaja zasebne predpone, ki morajo biti dosegljive, notranja imena, ki se morajo razrešiti, razreševalnik, ki odgovarja nanje, promet, ki sme ostati na lokalni poti, in potrdilo prehoda, ki ga odjemalec pričakuje. Vse ostalo v uvedbi je prevod teh vrstic v obliko datoteke.

Pisarniški primer naredi obliko konkretno: aplikacijski strežniki v 10.60.0.0/16, zasebna imena pod corp.example, notranji razreševalnik na 10.61.0.53, običajno brskanje pa ostane na poti, ki jo naprava že uporablja. Zadnja točka je odločitev politike, ne privzeto vedenje odjemalca, in več odjemalcev bo vse poslalo skozi predor, če nihče ne reče drugače. Zabeležite pogodbo z datumom in lastnikom, saj vam bo prav ta zapis pozneje povedal, ali se je spremenil predor ali politika.

Izberite en protokol in en par preverjanja pristnosti, ki ju lahko zagovarjate

IKEv2 s preverjanjem pristnosti prehoda na podlagi potrdil in EAP za uporabnika je običajna izbira, ko morajo vse tri platforme delovati brez dodatne programske opreme, saj Windows, macOS in NetworkManager vsak priložijo odjemalca IKEv2. Težava je, da podpora za IKEv2 opisuje oznako, ne nabora funkcij. Metode EAP, strojno podprti ključi, preslikava potrdila v račun in samodejno ponovno povezovanje so izvedeni za vsako platformo posebej. Kombinacija, ki deluje na dveh od treh, je dovolj pogosta, da jo je treba privzeti, dokler je ne preizkusite.

Preizkusite par na vsaki ciljni platformi, preden je napisan vodnik za uvajanje, ne pozneje. Prehod, ki ponuja EAP-MSCHAPv2 in EAP-TLS, vam daje prostor za rezervno pot, če je ta rezervna pot dokumentirana kot podprta in ne odkrita med incidentom. Dve podprti poti sta poceni zavarovanje; nedokumentirana tretja pot je prihodnji zahtevek.

Ko noben par ne pokrije vseh treh odjemalcev, so poštene možnosti dodati odjemalca, dodati profil na prehodu ali zožiti seznam podprtih platform. Izklop preverjanja potrdil na platformi, ki se najglasneje pritožuje, mednje ne sodi. Ta sprememba vrzel v združljivosti spremeni v tveganje prestrezanja in noben poznejši korak uvedbe je ne popravi.

Zgradite en izdelek na platformo iz pogodbe

Windows uporablja profil VPNv2, dostavljen prek MDM ali ustvarjen lokalno z Add-VpnConnection in njegovim XML tovorom. Grizeta obseg in zaupanje. Profil z obsegom naprave in profil z obsegom uporabnika se namestita v različni shrambi, zato mora potrdilo, ki ga odjemalec potrebuje, ležati v shrambi, ki ustreza izbranemu obsegu. Napaka pri tem parjenju ustvari profil, ki se uvozi brez težav in nato odpove pri prvem povezovanju.

macOS uporablja konfiguracijski profil z upravljanim tovorom VPN, podpisan in razširjen prek MDM ali nameščen ročno za pilot. Identiteta in veriga CA potujeta kot ločena tovora, zato se profil lahko namesti brez pritožb in vseeno odpove ob povezovanju. Preverite seznam tovorov, ne le izida namestitve.

Linux je odvisen od zaledja za NetworkManagerjem, strongSwan in vtičnik NetworkManager pa sta ločeni paketi. Lastnosti povezave so specifične za vtičnik in ne splošni ključi VPN, zato se ključ, kopiran iz drugega vtičnika, pogosto shrani brez napake in nato odpove pri aktivaciji. Zgradite povezavo na čisti sliki, da potrdite, da je vtičnik prisoten tam, kjer bo resnično tekel.

Trije izdelki se razlikujejo po obliki, a vsak kodira istih pet vrstic pogodbe. To je preizkus, ali je izdelek dokončan: vsaka vrstica je nekje predstavljena in na poti ni bilo izmišljeno nič odveč.

Preverite poti, razreševalnik in ponovno povezovanje na čistem računu

Povezano ni sprejemni preizkus. V Windows Get-VpnConnection prikaže profil, route print pa pokaže, ali je zasebna predpona pristala na vmesniku predora. V macOS scutil --nc list potrdi dejavno storitev, medtem ko scutil --dns pokaže vrstni red razreševalnikov, ki ga bo sistem resnično uporabil.

V Linuxu nmcli connection show --active dokaže, da je povezava vzpostavljena, resolvectl status pa pokaže DNS na povezavo. Razreševalnik, ki je v datoteki povezave, a ga v izpisu na povezavo ni, pomeni, da razdeljeni DNS ni uporabljen. To je razlika med imeni, ki se razrešijo, in imeni, ki se razrešijo skozi predor, in spremeni, katera ekipa za podporo prevzame naslednji korak. Primerjajte izpis na povezavo pred in po dvigu povezave, ne le po njem.

Izvedite celotno preverjanje na novem računu, brez predpomnjenih poverilnic in brez potrdila, ki ga je namestil skrbnik. Nato ga ponovite po mirovanju in prebuditvi ter še enkrat po vsiljenem ponovnem vnosu poverilnic. Ta dva prehoda razkrijeta večino napak pri ponovnem povezovanju, ki jih prva povezava nikoli ne pokaže.

Različico paketa označite in ohranite pot za vračanje

Vsak paket platforme označite z revizijo pogodbe, ki jo izvaja, in zabeležite različici odjemalca in prehoda, s katerima ste ga sprejeli. Ko se vedenje po posodobitvi odjemalca spremeni, oznaka pokaže na pogodbo za ponovno preverjanje, ne na datoteko za ugibanje.

Ohranite prejšnji paket vsake platforme dosegljiv in ob njem zapišite ukaz za odstranitev. Odstranitev profila VPN ni zrcalna slika namestitve v Windows, macOS ali Linuxu in razlike se pokažejo v najslabšem možnem trenutku. Enkrat vadite odstranitev na rezervni napravi, da arhiv postane načrt in ne upanje.