Kaj vnaprej konfigurirati pred prvo VPN-povezavo uporabnika

Prva VPN-povezava le redko odpove na tunelu. Odpove, ko običajen uporabnik v neupravljanem omrežju sledi navodilom, ki jih je napisal nekdo, ki je imel certifikat že nameščen. Profil, veriga zaupanja in poverilnica so konfiguracija in vse tri se lahko dostavijo, preden je uporabnik vpleten. Temu uporabniku naj ostanejo štiri dejanja brez odločitev v njih. Vsak dodatni korak, ki ga pustite v predaji, postane klic v podporo, ki se začne s tem, da nekdo naglas bere pogovorno okno.

Kaj profil povezave v resnici nosi

Profil VPN ni bližnjica ali zaznamek. Je poimenovan predmet v shrambi povezav operacijskega sistema, ki vsebuje naslov strežnika, vrsto tunela, metodo preverjanja pristnosti in pogosto poti, pripone DNS ter pravila sprožanja, ki odločajo, kdaj se poveže. V sistemu Windows ta polja ustrezajo vozliščem ponudnika konfiguracijske storitve VPNv2, zato lahko en profil prispe prek Intune, Configuration Managerja, paketa za zagotavljanje ali ročno uvožene datoteke XML.

Odjemalec ta predmet uporabi v stalnem vrstnem redu: preveri certifikat strežnika glede na zaupanja vredne korene, se pogaja o tunelu in šele nato uporabi usmerjanje in razreševanje imen, preden aplikacija vidi omrežje. Ta vrstni red pojasnjuje večino poročil o povezavi, ki pravi, da je aktivna, medtem ko se nič ne nalaga: preverjanje pristnosti je uspelo in DNS ali seznam poti je tisto, kar je dejansko odpovedalo. Berite profil kot en predmet z zaporedjem, ne kot nabor neodvisnih stikal. Manjkajoči koren zaupanja odpove že v prvem koraku, preden so ponujene kakršne koli poverilnice, in zato vrne splošno napako namesto poziva k prijavi.

Gradivo zaupanja je polje, ki se najpogosteje pretihotapi ročno. Certifikat CA, ki podpiše prehod, mora biti prisoten pred prvim poskusom, preverjanje imena strežnika pa mora ostati vklopljeno z ujemajočim se imenom; izklop preverjanja, da bi test uspel, spremeni težavo s preverjanjem pristnosti v tiho prestrezanje, ki ga noben uporabnik ne more zaznati.

Štiri izbire, ki jih uporabniki ne bi smeli nikoli narediti

Protokol in vrsta tunela sta prva: izberite eno podprto kombinacijo na platformo in dokumentirajte stran prehoda, ker znano blagovno ime ni izjava o združljivosti. Sledi končna točka: eno ime gostitelja, ki se javno razreši in ustreza certifikatu, ki ga predstavi prehod. Preverjanje pristnosti spada v sistem identitete, bodisi certifikat, uporabniško ime z drugim dejavnikom ali oboje. Nobena od teh ni uporabnikova preferenca in nobena se ne bi smela pojaviti kot vprašanje v navodilih.

Četrta izbira je obseg: polni tunel ali razdeljeni tunel in kateri predpone in pripone DNS potujejo znotraj. Razdeljeni tunel brez notranjih pripon pušča razreševanje imen kateremu koli razreševalniku, ki ga ponuja lokalno omrežje, polni tunel brez načrta lokalnih virov pa pokvari tiskalnike in ujete portale. Oboje so odločitve skrbnika z uporabniku vidnimi učinki, in prav zato naj uporabnik prejme že odločeno.

Ime povezave naj bo dolgočasno in stabilno. Uporabniki ga berejo naglas podpori, ga iščejo na seznamu odjemalca in si ga zapomnijo med ponastavitvami gesla; preimenovanje sredi selitve ustvari skok v podpori, ki nima nič skupnega s tem, ali VPN deluje.

Dostavljajte identiteto na osebo ali na napravo

Profil je javen, zasebni ključ pa ne. Pogosta napaka pri uvajanju je izvoz enega delujočega profila skupaj z njegovim certifikatom in pošiljanje datoteke iz rok v roke, kar vsak prenosnik spremeni v klon ene identitete in preklic spremeni v odločitev vse ali nič. Namesto tega registrirajte poverilnice po podprtem postopku: certifikat na napravo iz kanala upravljanja ali poverilnico na uporabnika od ponudnika identitete.

Tuneli naprav in uporabniški tuneli se preverjajo ob različnih trenutkih in ta razlika odloča, katero poverilnico potrebujete. Tunel naprave, ki se poveže pred prijavo, potrebuje certifikat stroja in profil, ki je na voljo sistemu. Uporabniški tunel, ki se začne po prijavi, lahko uporabi uporabnikovo lastno poverilnico in ne bi smel zahtevati skrbniških pravic. Dodajanje omrežnega dostopa na ravni stroja samo zato, da bi iz nekega jutra umaknili en klik, je slaba menjava, ker širi, kam lahko seže nenadzorovana naprava.

Registracija je tudi mesto, kjer se odloči pot obnovitve. Podaljšanje certifikata ali sprememba gesla mora doseči napravo, medtem ko tunel leži, zato se morajo zagotavljanje, ponudnik identitete in prehod dogovoriti, kako se to zgodi; če je edina pot za popravilo profila tunel, ki ga ta profil zagotavlja, je ključ zaklenjen v škatli.

Uskladite dostavni kanal z odjemalcem

Vgrajeni in odjemalci tretjih strani se dostavljajo različno. Profile Windows je mogoče dostaviti kot VPNv2 ProfileXML prek Intune ali Configuration Managerja, vendar ni vsako vozlišče izpostavljeno na vsaki upravljalni površini, nastavitve usmerjanja, DNS in sprožanja pa se razlikujejo glede na orodje in različico Windows. Potrdite, katero polje je mogoče uvesti, preden obljubite uvajanje brez dotika, ker referenca možnosti profila dokumentira nastavitve, ki jih nekatere dostavne poti še vedno ne morejo nastaviti.

Odjemalci ponudnikov dodajo drugo plast, saj so binarna datoteka, profil in politika glavnega vozlišča ločeni artefakti. Cisco Secure Client na primer podpira predhodno uvajanje paketa in njegovega profila, različico odjemalca pa je treba uskladiti s konfiguracijo prehoda; namestitev samo paketa pusti uporabnika v čarovniku.

Ne glede na izbrani kanal imejte en vir resnice za profil. Popravljen profil, ki ga starejši paket prepiše ob naslednjem preverjanju, je ponavljajoča se težava, trajna rešitev pa je različicama vodena konfiguracija, ne ročno urejanje na vsakem računalniku.

Preizkusite predajo kot nov uporabnik, nato preizkusite obnovitev

Izvedite pilot z običajnim računom na napravi, ki se ni nikoli povezala, brez shranjene seje skrbnika in brez predhodno registriranega certifikata. Potrdite, da se profil pojavi na seznamu, da poziv k prijavi ustreza navodilom in da se poimenovan notranji vir odpre, nato preverite razreševanje imen in obseg usmerjanja, namesto da bi se ustavili pri ikoni povezave.

Poizvedite shrambo profilov naprave, da bo test dal dokaz in ne vtis.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Nato pojdite skozi dogodke, s katerimi se uporabniki res srečujejo: prisilna ponastavitev gesla, obnovljen certifikat, potisnjena posodobitev odjemalca in omrežje, ki ga v pilotu nihče ni uporabil prej. Vsak bi moral delovati ali odpovedati tako, kot opisujejo navodila. Preizkusite tudi omrežje, ki blokira vrata VPN, ker je prvi poskus na hotelskem Wi-Fi tisto mesto, kjer uspeh doma preneha pomagati. Zapišite različico odjemalca in gradnjo OS ob vsakem rezultatu, saj bo naslednje poročilo prišlo brez njih.

Držite predajo uporabniku v štirih vrsticah: ime povezave, pričakovana prijava, vir, ki dokazuje uspeh, in kam poslati besedilo napake. Nikogar ne bi smeli prositi za geslo ali izvožen ključ, da bi dokazali okvaro. Arhitektura, notranjost profila in postopek obnovitve spadajo v skrbnikov priročnik, shranjen ob različici odjemalca, s katero so bili preizkušeni.