Vilka VPN-protokoll talar ditt operativsystem redan?

Innan du laddar ner ännu en klient, titta på vad operativsystemet redan implementerar, för svaret räcker ofta för att hoppa över installationsprogrammet helt. Windows, macOS och ChromeOS levererar var sin fast, kort lista över tunnelprotokoll, och en gateway som talar ett av dem behöver ingen extra drivrutin, tjänst eller uppdateringsväg. Det är inte leverantörsnamnet på broschyren som avgör det. Det är protokollet, hur slutpunkten autentiserar sig och vilken adress den förväntar sig.

Fråga efter protokollet, inte produktnamnet

Ett produktnamn säger väldigt lite om vad som går över ledningen. Två gatewayer som säljs under samma etikett kan kräva helt olika tunnlar, och den ena kan acceptera en inbyggd klient medan den andra avvisar allt utom sin egen portal. Två administratörer som beskriver samma låda kan vara oense och båda ha rätt, eftersom de beskriver olika lager. Tunneln under är det som avgör om ett installationsprogram behövs.

Ställ tre frågor till den som driver gatewayen: vilket tunnelprotokoll, vilken autentiseringsmetod och vilken adress och DNS-suffix klienten måste acceptera. Fråga efter protokollet vid namn, och när svaret kommer tillbaka som ett produktnamn, förklara varför det är protokollet du behöver. De tre svaren avgör klientfrågan innan någon programvara laddas ner.

Det finns en anledning till att produktnamnet överlever i så många ärenden. Portalens URL är det användarna ser, och tunneln är osynlig så länge den fungerar. Att skriva protokollet i överlämningsanteckningen kostar en rad och tar bort otydligheten för alla som kommer efter.

Var den inbyggda listan slutar

De inbyggda listorna är korta, och deras kanter betyder mer än innehållet. En plattform som talar L2TP över IPsec med en i förväg delad nyckel talar inte SSTP, och den skillnaden avgör klienten. Tabellen är sorterad efter tunnel och inte efter leverantör, så du kan slå upp protokollet som gatewayen nämnde.

Läs tabellen mot gatewayens krav och inte mot en broschyr. Om svaret är L2TP över IPsec med en i förväg delad nyckel ansluter de tre första plattformarna utan något extra installerat. Om svaret är OpenVPN är bara ChromeOS täckt innan du installerar något. Ett protokoll som inte visas i någon inbyggd kolumn är den ärliga signalen att ett installationsprogram är på väg.

Linux är kolumnen som motstår generalisering. Dess protokollstöd lever i daemoner och insticksmoduler som distributionen väljer att paketera, så en minimal avbildning talar kanske ingen av dem förrän du lägger till dem, och två distributioner med samma skrivbord kan skilja sig.

Bygg profilen från en kommandorad

Allt som den grafiska panelen skriver lagras någonstans där du kan komma åt det, och det är det som gör en inbyggd profil automatiserbar. Windows lagrar VPN-poster i .pbk filer under användarprofilen och under ProgramData, och rasphone kan lista och redigera poster som nätverkslistan inte visar. Det spelar roll när en maskin förbereds av ett skript och ingen kommer att klicka genom en guide. Det förklarar också hur en profil kan finnas utan att någonsin dyka upp i aktivitetsfältet.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Att redigera en .pbk fil för hand fungerar, och det är också det snabbaste sättet att förstöra den, så låt verktyget äga formatet. macOS lagrar sina tjänster i systemkonfigurationen, och networksetup vänder sig till dem vid tjänstenamn; flera flaggor vill ha en adress i stället för ett värdnamn, så lös först slutpunkten och spara värdet som klienten faktiskt använder. Den skillnaden biter under automatisering, eftersom ett skript som fungerar med en adress kan misslyckas med ett namn, och felet ser ut som en trasig gateway och inte som ett avvisat argument.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Tjänstenamn är lokaliserade och kan redigeras av användaren, så ett skript som hårdkodar Wi-Fi går sönder på den första maskinen som är inställd på ett annat språk. Läs namnet från listkommandot och skicka vidare det i stället för att gissa.

Certifikat utan en egen klient

Vissa utrullningar behöver ett klientcertifikat och ingenting annat eget, och det är mellanfallet som är värt att testa innan du accepterar en drivrutin. Att placera ett certifikat i plattformens lager stöds; det är inte samma handling som att slänga in en leverantörsrot och lita på att klienten hittar den. Det första är en medveten placering; det andra är en gissning med en supportbiljett bifogad.

Detaljen som fångar folk är vilket lager klienten läser. Ett certifikat i användarlagret är osynligt för en klient som är konfigurerad för maskinlagret, och meddelandet du får säger att certifikatet saknas, inte att det ligger på fel ställe. Kontrollera båda lagren innan du drar slutsatsen att certifikatet är fel. Skriv ner vilket det fungerande upplägget använder, för den anteckningen överlever certifikatet när maskinen byggs om.

Windows skiljer de två lagren uttryckligen, och macOS skiljer inloggningsnyckelringen från systemnyckelringen. Namnen skiljer sig, men felmoden är identisk: ett giltigt certifikat som klienten aldrig tittar på.

Vad som tvingar fram ett installationsprogram

Vissa gatewayer binder klienten till ett privat certifikatarkiv, en posture-agent eller ett inloggningsutbyte som operativsystemet inte kan utföra. Utrullningar byggda på Check Point-, Cisco- eller Fortinet-hårdvara hamnar ofta där, och i dem är den inbyggda klienten ingen genväg. En ersättning från tredje part kan ansluta och ändå bryta mot policyn, vilket gör detta till ett säkerhetsbeslut och inte ett bekvämlighetsbeslut. Installera det policyn kräver och notera skälet bredvid installationsprogrammets version.

Den registreringen är delen folk hoppar över och delen som sparar nästa administratör en vecka: protokoll, autentiseringsmetod, adressfamilj och obligatoriskt suffix, med en rad motivering för varje binärfil som måste läggas till. Lägg den där installationsanteckningarna bor och inte i en chattråd. Två rader dokumentation förhindrar en upprepad undersökning.