Profil VPN samo s PCF: kaj vprašati pred migracijo

Nekdo vam izroči datoteko .pcf in prenosnik ter pričakuje, da bo povezava delovala natanko tako kot pred leti. Običajno ne bo, in oblika datoteke je redko vzrok. PCF zabeleži parametre, ki jih je stari Cisco VPN Client potreboval za dosego enega določenega koncentratorja; ne pove ničesar o tem, ali lahko sedanji odjemalec še vedno govori s to storitvijo. Datoteka je dokaz o pretekli povezavi, ne pogodba za naslednjo.

Ločiti ta dokaz od zahtev je cela naloga. Lastnik prehoda vam dolguje podprto kombinacijo odjemalca, protokola, metode preverjanja pristnosti in oblike profila, kar je drugo vprašanje kot to, ali bo katera aplikacija odprla vaš stari profil.

Kaj datoteka v vaši roki dejansko zabeleži

PCF je majhen profil vnosov povezave: gostitelj ali par primarni in rezervni, ime skupine in namigi, kako naj odjemalec predstavi poverilnice. Ne vsebuje pogajanj o protokolu, nobene odločitve o zaupanju in nobene izjave o trenutnih zmožnostih prehoda. Branje vam pove, kam je stari odjemalec klical in pod katerim imenom skupine, in ta del je resnično koristen kontekst za tistega, ki upravlja glavni konec.

Česar vam ne more povedati, je, ali storitev za tem imenom gostitelja še sprejema isti protokol, ali ali račun obstaja v obliki, ki ustreza namigom. Ti odgovori so na prehodu in v shrambi identitet, zato vprašajte tam, preden gradite.

Tri zahteve, ki izgledajo kot ena

Prva zahteva je združljivost na omrežju: odjemalec mora izvajati protokol oddaljenega dostopa, ki ga prehod zaključi. Druga je preverjanje pristnosti, kjer mora biti metoda, ki jo zahteva prehod — potrdilo, skupinske poverilnice plus MFA ali EAP — takšna, ki jo odjemalec resnično lahko izvede. Tretja je politika: razdeljen tunel, DNS, bazeni naslovov in vse preverbe stanja, vse nastavljeno na prehodu in odjemalcu dostavljeno v profilu, ki ga mora sprejeti.

PCF ponuja šibek dokaz o drugi zahtevi in v bistvu nobenega o drugih dveh. Funkcija uvoza še bolj zamegli mejo: odjemalec, ki preslika starejša polja v svojo obliko, lahko uspe pri uvozu, a se ne poveže, in obratno je tudi mogoče.

Pet vprašanj, ki dajo uporaben odgovor

Pošljite vprašanja namesto datoteke. Katera kombinacija storitve oddaljenega dostopa in odjemalca je danes podprta; kateri protokol ta storitev predstavlja internetu; katera metoda preverjanja pristnosti in pot registracije veljata; kateri profil, koreni zaupanja in skupinska politika ali politika MFA mu pripadajo; in kateri deli se razlikujejo od stare povezave. Vsak odgovor ustreza eni od treh zahtev zgoraj.

Ta seznam spremeni razpravo o oblikah datotek v odločitev o podpori in običajno vrne povezavo do dokumentacije ter imenovanega odgovornega namesto skomiganja z rameni. Pove vam tudi zgodaj, ali je migracija nov profil proti obstoječi storitvi ali sprememba prehoda, ki je še nihče ni načrtoval. Vprašajte pisno, ker odgovori postanejo merila za sprejem tega, kar boste zgradili naslednje. V zahtevku obdržite tudi staro ime skupine, saj je to pogosto najhitrejša pot za operaterja do ustrezne politike.

Preimenovanje ne prevede ničesar

Cisco Secure Client dokumentira profile XML z lastnimi izbirami protokola, zato preimenovanje .pcf v .xml ne ustvari ne XML ne nastavitev. Lepljenje imena gostitelja v datoteko OpenVPN ne naredi iz prehoda IPsec govorca OpenVPN, in vgrajeni odjemalec IKEv2 ne postane združljiv s starejšo storitvijo le zato, ker se oba opisujeta kot IPsec.

Vsak od teh korakov spremeni oznako in pusti vedenje na omrežju nedotaknjeno, zato je nastala napaka videti nepovezana s spremembo. Ko prehod ne more ponuditi tega, kar izvaja novi odjemalec, sta pošteni možnosti odjemalec, ki še vedno govori stari protokol, ali načrtovana migracija prehoda. Ugibanje med njima stane tedne in se ničesar ne nauči.

Obravnavajte stari profil kot občutljivo gradivo

Stari profil lahko vsebuje interno ime gostitelja, ime skupine in včasih shranjene poverilnice, kar je natanko tista oblika stvari, ki jo zbirajo javni pretvorniki in niti na forumih. Naj administrator prebere polja po odobrenem kanalu, namesto da datoteko kam koli naložite.

Uprite se skušnjavi, da bi migracijo obesili na beta odjemalca, nepodprt gostujoči sistem ali šibkejše preverjanje pristnosti, izbrano zato, da bi ohranili zastarelega odjemalca pri življenju. Stare cene in strani za prenos niso boljši dokaz kot sam PCF, ker opisujejo pravico iz drugega obdobja in ne pogodbe, ki jo zdaj potrebujete.