Шта унапред конфигурисати пре првог VPN повезивања корисника

Прво VPN повезивање ретко пада на тунелу. Оно пада када обичан корисник на неконтролисаној мрежи следи упутства која је написао неко ко је већ инсталирао сертификат. Профил, ланац поверења и акредитив су конфигурација, и сва три се могу испоручити пре него што корисник буде укључен. Том кориснику треба да остану четири радње без одлука унутра. Сваки додатни корак који оставите у предаји постаје позив подршци који почиње тиме што неко наглас чита дијалог.

Шта профил везе заиста носи

VPN профил није пречица ни обележивач. То је именовани објекат у складишту веза оперативног система, који садржи адресу сервера, тип тунела, метод аутентификације и често руте, DNS суфиксе и правила покретања која одлучују када се повезује. На Windows-у та поља одговарају чворовима добављача конфигурационе услуге VPNv2, зато један профил може да стигне преко Intune-а, Configuration Manager-а, пакета за припрему или ручно увезене XML датотеке.

Клијент примењује тај објекат фиксним редоследом: проверава серверски сертификат према поузданим коренима, преговара о тунелу и тек онда примењује рутирање и разрешавање имена пре него што апликација види мрежу. Тај редослед објашњава већину извештаја о вези која тврди да је активна док се ништа не учитава: аутентификација је успела, а DNS или листа рута је оно што је заиста пало. Читајте профил као један објекат са редоследом, а не као скуп независних прекидача. Недостајући корен поверења пада на првом кораку, пре него што се понуди било какав акредитив, зато даје општу грешку уместо захтева за пријаву.

Материјал поверења је поље које се најчешће прокумужвари ручно. CA сертификат који потписује гејтвеј мора бити присутан пре првог покушаја, а провера имена сервера мора остати укључена са именом које се поклапа; искључивање провере да би тест прошао претвара проблем аутентификације у тихо пресретање које ниједан корисник не може да открије.

Четири одлуке које корисници никада не би требало да донесу

Протокол и тип тунела су први: изаберите једну подржану комбинацију по платформи и документујте страну гејтвеја, јер познато бренд име није изјава о компатибилности. Следи крајња тачка: једно име хоста које се јавно разрешава и одговара сертификату који гејтвеј представља. Аутентификација припада систему идентитета, било да је то сертификат, корисничко име са другим фактором или обоје. Ништа од тога није корисничка преференција и ништа не би требало да се појави као питање у упутствима.

Четврти избор је обим: пуни тунел или подељени тунел, и који префикси и DNS суфикси путују унутра. Подељени тунел без интерних суфикса одаје разрешавање имена било ком резолверу који локална мрежа понуди, а пуни тунел без плана локалних ресурса квари штампаче и каптивне портале. Оба су одлуке администратора са кориснику видљивим ефектима, и управо зато корисник треба да их добије већ решене.

Држите име везе досадним и стабилним. Корисници га читају наглас подршци, траже га у листи клијента и памте између ресетовања лозинке; преименовање усред миграције ствара скок у подршци који нема везе са тим ради ли VPN.

Испоручите идентитет по особи или по уређају

Профил је јаван, а приватни кључ није. Честа грешка при увођењу је извоз једног радног профила заједно са његовим сертификатом и прослеђивање датотеке, што сваки лаптоп чини клоном једног идентитета и претвара опозив у одлуку све-или-ништа. Уместо тога региструјте акредитиве кроз подржани процес: сертификат по уређају из канала за управљање или акредитив по кориснику од добављача идентитета.

Тунели уређаја и тунели корисника аутентификују се у различитим тренуцима, и та разлика одлучује који акредитив вам је потребан. Тунел уређаја који се повезује пре пријаве тражи сертификат машине и профил доступан систему. Тунел корисника који почиње после пријаве може користити сопствени акредитив корисника и не би требало да захтева администраторска права. Додавање мрежног приступа на нивоу машине само да би се уклонио један клик из нечијег јутра је лоша размена, јер проширује до чега уређај без надзора може да стигне.

Регистрација је и место где се одлучује пут опоравка. Обнова сертификата или промена лозинке мора да стигне до уређаја док тунел лежи, зато припрема, добављач идентитета и гејтвеј морају да се сложе како се то дешава; ако је једини начин да се профил поправи кроз тунел који тај профил пружа, кључ је закључан у кутији.

Усагласите канал испоруке са клијентом

Уграђени клијенти и клијенти трећих страна испоручују се различито. Windows профили могу да се испоруче као VPNv2 ProfileXML преко Intune-а или Configuration Manager-а, али није сваки чвор изложен на свакој површини за управљање, а подешавања рутирања, DNS-а и покретања варирају по алату и по верзији Windows-а. Потврдите које поље може да се распореди пре него што обећате распоређивање без додира, јер референца о опцијама профила документује подешавања која неки путеви испоруке још не могу да поставе.

Клијенти добављача додају други слој, јер су бинарна датотека, профил и политика главног чвора одвојени артефакти. Cisco Secure Client, на пример, подржава претходно распоређивање и пакета и његовог профила, а верзију клијента треба усагласити са конфигурацијом гејтвеја; инсталирање само пакета оставља корисника у чаробњаку.

Који год канал да изаберете, држите један извор истине за профил. Поправљен профил који старији пакет препише при следећој провери је понављајући инцидент, а трајно решење је верзионисана конфигурација, а не ручно уређивање на свакој машини.

Тестирајте предају као нови корисник, затим тестирајте опоравак

Направите пилот са обичним налогом на уређају који се никада није повезао, без сачуване сесије администратора или унапред регистрованог сертификата. Потврдите да се профил појављује на листи, да захтев за пријаву одговара упутствима и да се именовани интерни ресурс отвара, затим проверите разрешавање имена и обим рутирања уместо да станете на икони повезаности.

Питајте складиште профила уређаја да тест да доказ, а не утисак.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Затим прођите кроз догађаје са којима се корисници заиста сусрећу: принудни ресет лозинке, обновљен сертификат, гурнуто ажурирање клијента и мрежу коју нико у пилоту није користио пре. Сваки би требало или да ради или да падне онако како упутства описују. Испробајте и мрежу која блокира порт VPN-а, јер је први покушај на хотелском Wi-Fi-ју место где успех код куће престаје да помаже. Запишите верзију клијента и build OS-а поред сваког резултата, јер ће следећи извештај стићи без њих.

Држите предају ка кориснику у четири реда: име везе, очекивану пријаву, ресурс који доказује успех и где послати текст грешке. Нико не треба да буде питан за лозинку или извезени кључ да би се показао неуспех. Архитектура, унутрашњост профила и поступак опоравка припадају приручнику администратора, архивирани поред верзије клијента са којом су тестирани.