Çfarë duhet konfiguruar paraprakisht përpara lidhjes së parë VPN të një përdoruesi

Një lidhje e parë VPN rrallë dështon në tunel. Ajo dështon kur një përdorues i zakonshëm, në një rrjet të pamenaxhuar, ndjek udhëzime të shkruara nga dikush që e kishte certifikatën të instaluar tashmë. Profili, zinxhiri i besimit dhe kredenciali janë konfigurim, dhe të tre mund të dorëzohen përpara se përdoruesi të përfshihet. Ajo që i mbetet atij përdoruesi duhet të jenë katër veprime pa vendime brenda tyre. Çdo hap shtesë që lini në dorëzim bëhet një telefonatë mbështetjeje që fillon me dikë që lexon me zë një kuti dialogu.

Çfarë mbart në të vërtetë një profil lidhjeje

Një profil VPN nuk është shkurtore apo faqerojtës. Është një objekt me emër në depon e lidhjeve të sistemit operativ, që mban adresën e serverit, llojin e tunelit, metodën e vërtetimit dhe shpesh rrugët, prapashtesat DNS dhe rregullat e aktivizimit që vendosin kur lidhet. Në Windows këto fusha përputhen me nyjet e ofruesit të shërbimit të konfigurimit VPNv2, prandaj një profil mund të arrijë përmes Intune, Configuration Manager, një pakete furnizimi ose një skedari XML të importuar me dorë.

Klienti e zbaton atë objekt në një rend fiks: vërteton certifikatën e serverit ndaj rrënjëve të besuara, negocion tunelin dhe vetëm pastaj zbaton rrugëzimin dhe zgjidhjen e emrave përpara se një aplikacion të shohë një rrjet. Ky rend shpjegon shumicën e raporteve për një lidhje që thotë se është aktive ndërsa asgjë nuk ngarkohet: vërtetimi pati sukses dhe ajo që dështoi në të vërtetë ishte DNS ose lista e rrugëve. Lexoni profilin si një objekt të vetëm me një sekuencë, jo si një grup ndërprerësish të pavarur. Një rrënjë besimi që mungon dështon në hapin e parë, përpara se të ofrohet ndonjë kredencial, dhe për këtë arsye prodhon një gabim të përgjithshëm në vend të një kërkese për hyrje.

Materiali i besimit është fusha që më shpesh futet kontrabandë me dorë. Certifikata CA që nënshkruan portën duhet të jetë e pranishme përpara provës së parë, dhe vërtetimi i emrit të serverit duhet të mbetet i ndezur me një emër që përputhet; çaktivizimi i vërtetimit për të kaluar një test e kthen një problem vërtetimi në përgjim të heshtur që asnjë përdorues nuk mund ta zbulojë.

Katër zgjedhjet që përdoruesit nuk duhet t'i bëjnë kurrë

Protokolli dhe lloji i tunelit vijnë të parët: zgjidhni një kombinim të mbështetur për platformë dhe dokumentoni anën e portës, sepse një emër marke i njohur nuk është deklaratë përputhshmërie. Më pas pika fundore: një emër hosti që zgjidhet publikisht dhe përputhet me certifikatën që paraqet porta. Vërtetimi i përket sistemit të identitetit, qoftë certifikatë, emër përdoruesi me një faktor të dytë, ose të dyja. Asnjëra prej tyre nuk është preferencë e përdoruesit, dhe asnjëra nuk duhet të shfaqet si pyetje në udhëzime.

Zgjedhja e katërt është shtrirja: tunel i plotë ose tunel i ndarë, dhe cilat prefikse e prapashtesa DNS udhëtojnë brenda tij. Një tunel i ndarë pa prapashtesa të brendshme rrjedh zgjidhjen e emrave drejt çdo zgjidhësi që ofron rrjeti lokal, dhe një tunel i plotë pa plan për burimet lokale prish printerat dhe portat e kapura. Të dyja janë vendime të administratorit me efekte të dukshme për përdoruesin, dhe pikërisht për këtë përdoruesi duhet t'i marrë të zgjidhura.

Mbajeni emrin e lidhjes të mërzitshëm dhe të qëndrueshëm. Përdoruesit e lexojnë me zë mbështetjes, e kërkojnë në një listë të klientit dhe e mbajnë mend midis rivendosjeve të fjalëkalimit; riemërtimi në mes të një migrimi krijon një kulm mbështetjeje që nuk ka lidhje me atë nëse VPN funksionon.

Dorëzo identitetin për person ose për pajisje

Profili është publik dhe çelësi privat nuk është. Një gabim i zakonshëm i vendosjes është të eksportohet një profil funksional bashkë me certifikatën e tij dhe skedari të qarkullojë dorë më dorë, gjë që e bën çdo laptop një klon të një identiteti të vetëm dhe e kthen revokimin në një vendim gjithçka-ose-asgjë. Regjistroni kredencialet përmes procesit të mbështetur: një certifikatë për pajisje nga kanali i menaxhimit, ose një kredencial për përdorues nga ofruesi i identitetit.

Tunelet e pajisjes dhe tunelet e përdoruesit vërtetohen në momente të ndryshme, dhe ky ndryshim vendos se cili kredencial ju nevojitet. Një tunel pajisjeje që lidhet përpara hyrjes kërkon një certifikatë makine dhe një profil të disponueshëm për sistemin. Një tunel përdoruesi që nis pas hyrjes mund të përdorë kredencialin e vetë përdoruesit dhe nuk duhet të kërkojë të drejta administratori. Shtimi i aksesit në rrjet në nivel makine vetëm për të hequr një klikim nga mëngjesi i dikujt është një shkëmbim i keq, sepse zgjeron atë që mund të arrijë një pajisje pa mbikëqyrje.

Regjistrimi është gjithashtu vendi ku vendoset rruga e rikuperimit. Një rinovim certifikate ose një ndryshim fjalëkalimi duhet të arrijë pajisjen ndërsa tuneli është poshtë, kështu që furnizimi, ofruesi i identitetit dhe porta duhet të bien dakord se si ndodh kjo; nëse mënyra e vetme për të rregulluar një profil është përmes tunelit që ai profil ofron, çelësi është i mbyllur brenda kutisë.

Përputhni kanalin e dorëzimit me klientin

Klientët vendas dhe të palëve të treta dorëzohen ndryshe. Profilet Windows mund të dorëzohen si VPNv2 ProfileXML përmes Intune ose Configuration Manager, por jo çdo nyje është e ekspozuar në çdo sipërfaqe menaxhimi, dhe cilësimet e rrugëzimit, DNS dhe aktivizimit ndryshojnë sipas mjetit dhe versionit të Windows. Konfirmoni cilën fushë mund të vendosni përpara se të premtoni një vendosje pa prekje, sepse referenca e opsioneve të profilit dokumenton cilësime që disa rrugë dorëzimi ende nuk mund t'i vendosin.

Klientët e furnitorëve shtojnë një shtresë të dytë, pasi binari, profili dhe politika e kokës janë artefakte të ndara. Cisco Secure Client, për shembull, mbështet paravendosjen e paketës dhe të profilit të tij, dhe versioni i klientit duhet të koordinohet me konfigurimin e portës; instalimi vetëm i paketës e lë përdoruesin brenda një magjistari.

Çfarëdo kanali që zgjidhni, mbani një burim të vetëm të vërtetë për profilin. Një profil i riparuar që një paketë më e vjetër e mbishkruan në kontrollin tjetër është një incident i përsëritur, dhe zgjidhja e qëndrueshme është konfigurim i versionuar, jo redaktim me dorë në çdo makinë.

Testoni dorëzimin si përdorues i ri, pastaj testoni rikuperimin

Bëni një pilot me një llogari të zakonshme në një pajisje që nuk është lidhur kurrë, pa sesionin e ruajtur të administratorit dhe pa certifikatë të pararegjistruar. Konfirmoni që profili shfaqet në listë, që kërkesa për hyrje përputhet me udhëzimet dhe që hapet një burim i brendshëm me emër, pastaj kontrolloni zgjidhjen e emrave dhe shtrirjen e rrugëzimit në vend që të ndaleni në një ikonë të lidhur.

Pyetni depon e profileve të pajisjes që testi të prodhojë provë dhe jo përshtypje.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Pastaj kaloni nëpër ngjarjet që përdoruesit ndeshin vërtet: një rivendosje e detyruar fjalëkalimi, një certifikatë e rinovuar, një përditësim klienti i shtyrë dhe një rrjet që askush në pilot nuk e ka përdorur më parë. Secili duhet ose të funksionojë ose të dështojë siç përshkruajnë udhëzimet. Provoni gjithashtu një rrjet që bllokon portën VPN, sepse prova e parë në Wi-Fi hoteli është vendi ku suksesi në shtëpi pushon së ndihmuari. Shënoni versionin e klientit dhe ndërtimin e OS përballë çdo rezultati, sepse raporti tjetër do të vijë pa to.

Mbajeni dorëzimin te përdoruesi në katër rreshta: emri i lidhjes, hyrja e pritur, burimi që dëshmon suksesin dhe ku të dërgohet teksti i gabimit. Askush nuk duhet të pyetet për fjalëkalim ose çelës të eksportuar për të demonstruar një dështim. Arkitektura, brendësia e profilit dhe procedura e rikuperimit i përkasin manualit të administratorit, të arkivuar pranë versionit të klientit me të cilin u testuan.