Може ли једна VPN услуга да покрије Windows, Mac и Linux радне површине?

Три лаптопа у истом тиму, три различита VPN менија и тикет који каже да веза ради свуда осим на Mac-у. План иза тих клијената може бити идентичан чак и када менији нису. Оно што мора да се поклопи уже је од претпоставке већине увођења: један идентитет гејтвеја, једна врста акредитива, један скуп рута и једна политика резолвера. Запишите те четири ствари пре него што било ко извезе профил, и рад на платформама постаје контролна листа уместо истраге.

Почните од уговора о приступу, а не од датотеке клијента

Уговор о приступу је пет редова које рецензент може да провери без отварања конзоле добављача. Наводи приватне префиксе који морају бити достижни, интерна имена која морају да се разреше, резолвер који на њих одговара, саобраћај који сме да остане на локалној путањи и сертификат гејтвеја који клијент треба да очекује. Све остало у увођењу је превод тих редова у формат датотеке.

Пример из канцеларије чини облик конкретним: сервери апликација у 10.60.0.0/16, приватна имена под corp.example, интерни резолвер на 10.61.0.53, а обично прегледање остаје на путањи коју уређај већ користи. Последња ставка је одлука политике, а не подразумевана вредност клијента, и неколико клијената ће послати све кроз тунел ако нико не каже другачије. Забележите уговор са датумом и власником, јер управо тај запис касније говори да ли се променио тунел или политика.

Изаберите један протокол и један пар провере идентитета који можете да браните

IKEv2 са провером идентитета гејтвеја заснованом на сертификатима и EAP за корисника уобичајен је избор када све три платформе морају да раде без додатног софтвера, јер Windows, macOS и NetworkManager сваки испоручују IKEv2 клијента. Невоља је у томе што подршка за IKEv2 описује ознаку, а не скуп функција. EAP методе, хардверски подржани кључеви, пресликавање сертификата у налог и аутоматско поновно повезивање имплементирају се по платформи. Комбинација која ради на две од три довољно је честа да је треба претпоставити док се не тестира.

Тестирајте пар на свакој циљној платформи пре писања водича за увођење, а не после. Гејтвеј који нуди и EAP-MSCHAPv2 и EAP-TLS даје простор за резервну путању, под условом да је та резервна путања документована као подржана, а не откривена током инцидента. Две подржане путање јефтино су осигурање; недокументована трећа путања будући је тикет.

Када ниједан пар не покрива сва три клијента, поштене су опције додати клијента, додати профил на гејтвеју или сузити списак подржаних платформи. Искључивање провере сертификата на платформи која се најгласније жали није једна од њих. Та промена претвара јаз у компатибилности у ризик пресретања и ниједан је каснији корак увођења не поправља.

Направите по један артефакт на платформу из уговора

Windows користи VPNv2 профил, достављен преко MDM-а или направљен локално помоћу Add-VpnConnection и његовог XML терета. Гризу две ствари: обим и поверење. Профил са обимом уређаја и профил са обимом корисника инсталирају се у различита складишта, па сертификат који клијент треба мора да стоји у складишту које одговара изабраном обиму. Погрешно упаривање даје профил који се чисто увезе и затим падне на првом повезивању.

macOS користи конфигурациони профил са управљаним VPN теретом, потписан и дистрибуиран преко MDM-а или ручно инсталиран за пилот. Идентитет и CA ланац путују као засебни терети, зато се профил може инсталирати без приговора и ипак пасти у тренутку повезивања. Проверите списак терета, не само резултат инсталације.

Linux зависи од позадине иза NetworkManager-а, а strongSwan и додатак за NetworkManager су засебни пакети. Својства везе су специфична за додатак, а не општи VPN кључеви, па се кључ преписан из другог додатка често сачува без грешке и затим падне при активацији. Направите везу на чистој слици да потврдите да је додатак присутан тамо где ће се заиста извршавати.

Три артефакта се разликују по формату, али сваки кодира истих пет редова уговора. То је тест да ли је артефакт завршен: сваки ред је негде заступљен и ништа додатно није измишљено успут.

Проверите руте, резолвер и поновно повезивање на чистом налогу

Повезано није прихватни тест. На Windows-у Get-VpnConnection приказује профил, а route print показује да ли је приватни префикс слетео на интерфејс тунела. На macOS-у scutil --nc list потврђује активну услугу, док scutil --dns показује редослед резолвера који ће систем заиста користити.

На Linux-у nmcli connection show --active доказује да је веза активна, а resolvectl status показује DNS по вези. Резолвер присутан у датотеци везе, али одсутан у излазу по вези, значи да се подељени DNS не примењује. То је разлика између имена која се разрешавају и имена која се разрешавају кроз тунел и мења то који тим за подршку преузима следећи корак. Упоредите излаз по вези пре и после подизања везе, не само после.

Спроведите целу проверу на новом налогу, без кешираних акредитива и без сертификата који је инсталирао администратор. Затим је поновите после обуставе и наставка и још једном после присилног поновног уноса акредитива. Та два прелаза откривају већину грешака поновног повезивања које прво повезивање никада не покаже.

Верзионишите пакет и задржите путању враћања

Означите сваки пакет платформе ревизијом уговора коју спроводи и забележите верзије клијента и гејтвеја са којима сте га прихватили. Када се понашање промени после ажурирања клијента, ознака показује на уговор који треба поново тестирати, а не на датотеку о којој треба нагађати.

Држите претходни пакет сваке платформе доступним и поред њега напишите команду за уклањање. Деинсталација VPN профила није огледалска слика инсталације на Windows-у, macOS-у ни Linux-у, а разлике се покажу у најгорем тренутку. Увежбајте уклањање једном на резервном уређају да архива постане план, а не нада.