VPN профил само са PCF-ом: шта питати пре миграције

Неко вам уручи датотеку .pcf и лаптоп и очекује да ће веза радити тачно као пре година. Обично неће, а формат датотеке је ретко разлог. PCF бележи параметре који су старом Cisco VPN Client-у били потребни да достигне један конкретан концентратор; не говори ништа о томе може ли тренутни клијент још да разговара са том услугом. Датотека је доказ о прошлој вези, а не уговор за следећу.

Одвајање тог доказа од захтева цео је задатак. Власник gateway-а вам дугује подржану комбинацију клијента, протокола, метода аутентификације и формата профила, а то је друго питање од онога да ли ће нека апликација отворити ваш стари профил.

Шта датотека у вашој руци заправо бележи

PCF је мали профил уноса везе: домаћин или пар примарни и резервни, назив групе и назнаке како клијент треба да представи акредитиве. Не носи преговарање о протоколу, ни одлуку о поверењу, ни тврдњу о тренутним могућностима gateway-а. Читање вам каже где је стари клијент звао и под којим називом групе, а тај део је заиста користан контекст за онога ко управља главним чвориштем.

Оно што вам не може рећи јесте да ли услуга иза тог имена домаћина још прихвата исти протокол или да ли рачун постоји у облику који одговара назнакама. Ти одговори живе на gateway-у и у складишту идентитета, па питајте тамо пре него што градите.

Три захтева која изгледају као један

Први захтев је компатибилност на жици: клијент мора да имплементира протокол даљинског приступа који gateway завршава. Други је аутентификација, где метод који gateway захтева — сертификат, групне акредитиве плус MFA или EAP — мора бити онај који клијент заиста може да изведе. Трећи је политика: подељени тунел, DNS, базени адреса и све провере стања, све конфигурисано на gateway-у и достављено клијенту у профилу који мора да прихвати.

PCF пружа слаб доказ о другом захтеву и битно никакав о друга два. Функција увоза додатно замућује границу: клијент који пресликава наслеђена поља у сопствени формат може успети при увозу, а не успети при повезивању, а обрнуто је такође могуће.

Пет питања која дају употребљив одговор

Пошаљите питања уместо датотеке. Која комбинација услуге даљинског приступа и клијента је данас подржана; који протокол та услуга представља интернету; који метод аутентификације и пут регистрације важе; који профил, корени поверења и групна политика или политика MFA иду уз то; и који се делови разликују од старе везе. Сваки одговор одговара једном од три захтева горе.

Тај списак претвара расправу о форматима датотека у одлуку о подршци и обично враћа линк до документације и именованог власника уместо слегања раменима. Такође вам рано каже да ли је миграција нови профил према постојећој услузи или промена gateway-а коју нико још није заказао. Питајте писмено, јер одговори постају критеријуми прихватања за све што следеће изградите. Задржите и стари назив групе у захтеву, јер је то често најбржи начин да оператер пронађе одговарајућу политику.

Преименовање ништа не преводи

Cisco Secure Client документује XML профиле са сопственим избором протокола, па преименовање .pcf у .xml не даје ни XML ни поставке. Лепљење имена домаћина у OpenVPN датотеку не чини IPsec gateway говорником OpenVPN-а, а изворни IKEv2 клијент не постаје компатибилан са старијом услугом само зато што се оба описују као IPsec.

Сваки од тих потеза мења ознаку и оставља понашање на жици нетакнутим, због чега резултујући квар изгледа неповезано са изменом. Када gateway не може да понуди оно што нови клијент имплементира, искрене опције су клијент који још говори стари протокол или планирана миграција gateway-а. Нагађање између њих кошта недељама и ничему не учи.

Третирајте стари профил као осетљив материјал

Стари профил може садржати интерно име домаћина, назив групе и понекад сачуване акредитиве, што је управо облик ствари које сакупљају јавни конвертери и форумске теме. Нека администратор прочита поља кроз одобрен канал уместо да датотеку било где пренесете.

Одуприте се искушењу да миграцију окачите о бета клијент, неподржан гостујући систем или слабију аутентификацију одабрану да одржи застарели клијент на животу. Старе цене и странице за преузимање нису бољи доказ од самог PCF-а, јер описују право из друге ере, а не уговор који вам сада треба.