Endast-PCF VPN-profil: vad du bör fråga innan du migrerar

Någon räcker dig en .pcf-fil och en bärbar dator och förväntar sig att anslutningen ska fungera precis som för år sedan. Oftast gör den inte det, och filformatet är sällan orsaken. En PCF registrerar de parametrar som en gammal Cisco VPN Client behövde för att nå en viss koncentrator; den säger ingenting om huruvida en nutida klient fortfarande kan tala med den tjänsten. Filen är bevis om en tidigare anslutning, inte ett avtal för nästa.

Att skilja det beviset från kraven är hela uppgiften. Det gatewayens ägare är skyldig dig är en stödd kombination av klient, protokoll, autentiseringsmetod och profilformat, och det är en annan fråga än om något program öppnar din gamla profil.

Vad filen i din hand egentligen registrerar

En PCF är en liten profil av anslutningsposter: en värd eller ett par med primär och reserv, ett gruppnamn och antydningar om hur klienten ska presentera inloggningsuppgifter. Den innehåller ingen protokollförhandling, inget förtroendebeslut och inget påstående om gatewayens nuvarande förmåga. Att läsa den berättar var den gamla klienten ringde och under vilket gruppnamn, och den delen är verkligen användbar kontext för den som äger huvudänden.

Vad den inte kan berätta är om tjänsten bakom det värdnamnet fortfarande accepterar samma protokoll, eller om kontot finns kvar i en form som matchar antydningarna. Svaren finns på gatewayen och i identitetslagret, så fråga där innan du bygger.

Tre krav som ser ut som ett

Det första kravet är kompatibilitet på tråden: klienten måste implementera det fjärråtkomstprotokoll som gatewayen avslutar. Det andra är autentisering, där metoden gatewayen kräver — certifikat, gruppuppgifter plus MFA, eller EAP — måste vara en som klienten faktiskt kan utföra. Det tredje är policy: delad tunnel, DNS, adresspooler och eventuella posture-kontroller, allt konfigurerat på gatewayen och levererat till klienten i en profil som den måste acceptera.

En PCF ger svagt bevis för det andra kravet och i praktiken ingenting för de två andra. En importfunktion suddar ut gränsen ytterligare: en klient som mappar gamla fält till sitt eget format kan lyckas med importen men misslyckas med att ansluta, och det motsatta är också möjligt.

Fem frågor som ger ett användbart svar

Skicka frågor i stället för filen. Vilken kombination av fjärråtkomsttjänst och klient som stöds i dag; vilket protokoll tjänsten visar mot internet; vilken autentiseringsmetod och registreringsväg som gäller; vilken profil, vilka förtroendeankare och vilken grupp- eller MFA-policy som hör till; och vilka delar som avviker från den gamla anslutningen. Varje svar motsvarar ett av de tre kraven ovan.

Den listan gör en diskussion om filformat till ett beslut om support och ger oftast en dokumentationslänk och en namngiven ägare i stället för en axelryckning. Den berättar också tidigt om migreringen är en ny profil mot en befintlig tjänst, eller en gatewayändring som ingen har planerat än. Fråga skriftligt, eftersom svaren blir acceptanskriterier för det du bygger härnäst. Behåll också det gamla gruppnamnet i ärendet, eftersom det ofta är det snabbaste sättet för operatören att hitta rätt policy.

Att byta namn översätter ingenting

Cisco Secure Client dokumenterar XML-profiler med egna protokollval, så att byta namn på en .pcf till .xml ger varken XML eller inställningar. Att klistra in ett värdnamn i en OpenVPN-fil får inte en IPsec-gateway att tala OpenVPN, och en inbyggd IKEv2-klient blir inte kompatibel med en äldre tjänst bara för att båda beskrivs som IPsec.

Vart och ett av dessa grepp ändrar en etikett och lämnar beteendet på tråden orört, och därför verkar felet som uppstår orelaterat till ändringen. När gatewayen inte kan erbjuda det den nya klienten implementerar, är de ärliga alternativen en klient som fortfarande talar det gamla protokollet eller en planerad gatewaymigrering. Att gissa mellan dem kostar veckor och lär ingenting.

Behandla den gamla profilen som känsligt material

En gammal profil kan innehålla ett internt värdnamn, ett gruppnamn och ibland lagrade inloggningsuppgifter, vilket är precis den typ av sak som öppna konverterare och forumtrådar samlar in. Låt en administratör läsa fälten via en godkänd kanal i stället för att ladda upp filen någonstans.

Motstå frestelsen att göra migreringen beroende av en betaklient, ett ej stött gästsystem eller svagare autentisering som valts för att hålla en föråldrad klient vid liv. Gamla priser och nedladdningssidor är inte bättre bevis än själva PCF-filen, eftersom de beskriver en rättighet från en annan tid och inte det avtal du behöver nu.