โปรไฟล์ VPN แบบ PCF เท่านั้น: ควรถามอะไรก่อนย้ายระบบ

มีคนยื่นไฟล์ .pcf กับแล็ปท็อปให้คุณแล้วคาดว่าการเชื่อมต่อจะทำงานเหมือนเมื่อหลายปีก่อน ปกติแล้วมันจะไม่เป็นเช่นนั้น และรูปแบบไฟล์ก็ไม่ค่อยเป็นสาเหตุ PCF บันทึกพารามิเตอร์ที่ Cisco VPN Client รุ่นเก่าต้องการเพื่อไปยังเครื่องรวมศูนย์เครื่องหนึ่งโดยเฉพาะ มันไม่ได้บอกอะไรเลยว่าไคลเอนต์ในปัจจุบันยังสื่อสารกับบริการนั้นได้หรือไม่ ไฟล์นี้เป็นหลักฐานของการเชื่อมต่อในอดีต ไม่ใช่สัญญาสำหรับการเชื่อมต่อครั้งถัดไป

การแยกหลักฐานนั้นออกจากข้อกำหนดคือหัวใจของงานทั้งหมด สิ่งที่เจ้าของเกตเวย์ติดค้างคุณคือชุดค่าผสมที่รองรับของไคลเอนต์ โปรโตคอล วิธีพิสูจน์ตัวตน และรูปแบบโปรไฟล์ ซึ่งเป็นคำถามที่ต่างจากการที่แอปพลิเคชันบางตัวจะเปิดโปรไฟล์เก่าของคุณได้หรือไม่

ไฟล์ในมือคุณบันทึกอะไรไว้จริง ๆ

PCF คือโปรไฟล์เล็ก ๆ ของรายการเชื่อมต่อ ได้แก่ โฮสต์หรือคู่ของเครื่องหลักและเครื่องสำรอง ชื่อกลุ่ม และคำใบ้ว่าไคลเอนต์ควรนำเสนอข้อมูลรับรองอย่างไร ไม่มีทั้งการเจรจาโปรโตคอล การตัดสินใจเรื่องความไว้วางใจ หรือคำแถลงเกี่ยวกับขีดความสามารถปัจจุบันของเกตเวย์ การอ่านมันบอกคุณว่าไคลเอนต์เก่าโทรไปที่ไหนและภายใต้ชื่อกลุ่มใด และส่วนนั้นเป็นบริบทที่มีประโยชน์จริงสำหรับผู้ดูแลปลายทางหลัก

สิ่งที่มันบอกคุณไม่ได้คือบริการหลังชื่อโฮสต์นั้นยังรับโปรโตคอลเดิมอยู่หรือไม่ หรือบัญชียังคงอยู่ในรูปแบบที่ตรงกับคำใบ้หรือไม่ คำตอบเหล่านั้นอยู่บนเกตเวย์และในที่เก็บบัตรประจำตัว ดังนั้นจงถามที่นั่นก่อนลงมือสร้าง

สามข้อกำหนดที่ดูเหมือนข้อเดียว

ข้อกำหนดแรกคือความเข้ากันได้บนสาย: ไคลเอนต์ต้องใช้งานโปรโตคอลการเข้าถึงระยะไกลที่เกตเวย์ยุติ ข้อที่สองคือการพิสูจน์ตัวตน ซึ่งวิธีที่เกตเวย์กำหนด ไม่ว่าจะเป็นใบรับรอง ข้อมูลรับรองกลุ่มพร้อม MFA หรือ EAP ต้องเป็นวิธีที่ไคลเอนต์ทำได้จริง ข้อที่สามคือนโยบาย ได้แก่ อุโมงค์แบบแยกส่วน DNS พูลแอดเดรส และการตรวจสอบสถานะใด ๆ ทั้งหมดกำหนดค่าบนเกตเวย์และส่งมอบให้ไคลเอนต์ในโปรไฟล์ที่มันต้องยอมรับ

PCF ให้หลักฐานที่อ่อนแอเกี่ยวกับข้อกำหนดที่สอง และแทบไม่มีเลยเกี่ยวกับอีกสองข้อ คุณสมบัติการนำเข้าทำให้เส้นแบ่งพร่ามัวยิ่งขึ้น ไคลเอนต์ที่แมปฟิลด์เก่าเข้ากับรูปแบบของตัวเองอาจนำเข้าสำเร็จแต่เชื่อมต่อไม่สำเร็จ และในทางกลับกันก็เป็นไปได้

ห้าคำถามที่ให้คำตอบที่ใช้งานได้

ส่งคำถามไปแทนไฟล์ วันนี้ชุดผสมของบริการเข้าถึงระยะไกลและไคลเอนต์ใดที่รองรับ บริการนั้นนำเสนอโปรโตคอลใดสู่อินเทอร์เน็ต วิธีพิสูจน์ตัวตนและเส้นทางการลงทะเบียนใดที่ใช้ โปรไฟล์ จุดยึดความไว้วางใจ และนโยบายกลุ่มหรือ MFA ใดที่เกี่ยวข้อง และส่วนใดที่ต่างจากการเชื่อมต่อเดิม คำตอบแต่ละข้อสอดคล้องกับหนึ่งในสามข้อกำหนดข้างต้น

รายการนั้นเปลี่ยนการถกเถียงเรื่องรูปแบบไฟล์ให้เป็นการตัดสินใจเรื่องการสนับสนุน และโดยปกติจะคืนลิงก์เอกสารกับผู้รับผิดชอบที่มีชื่อแทนการยักไหล่ มันยังบอกคุณตั้งแต่เนิ่น ๆ ว่าการย้ายระบบเป็นโปรไฟล์ใหม่บนบริการที่มีอยู่ หรือเป็นการเปลี่ยนแปลงเกตเวย์ที่ยังไม่มีใครจัดตารางเวลา ถามเป็นลายลักษณ์อักษร เพราะคำตอบจะกลายเป็นเกณฑ์การยอมรับสำหรับสิ่งที่คุณจะสร้างต่อไป เก็บชื่อกลุ่มเดิมไว้ในตั๋วด้วย เพราะนั่นมักเป็นวิธีที่เร็วที่สุดให้ผู้ปฏิบัติงานหานโยบายที่ตรงกัน

การเปลี่ยนชื่อไม่ได้แปลอะไรเลย

Cisco Secure Client จัดทำเอกสารโปรไฟล์ XML ด้วยตัวเลือกโปรโตคอลของตัวเอง ดังนั้นการเปลี่ยนชื่อ .pcf เป็น .xml จึงไม่ได้สร้างทั้ง XML และการตั้งค่า การวางชื่อโฮสต์ลงในไฟล์ OpenVPN ไม่ทำให้เกตเวย์ IPsec พูด OpenVPN และไคลเอนต์ IKEv2 แบบเนทีฟก็ไม่เข้ากันกับบริการที่เก่ากว่าเพียงเพราะทั้งสองถูกอธิบายว่าเป็น IPsec

แต่ละการกระทำเหล่านั้นเปลี่ยนป้ายชื่อและปล่อยพฤติกรรมบนเครือข่ายไว้ไม่แตะต้อง ซึ่งเป็นเหตุผลว่าทำไมความล้มเหลวที่เกิดขึ้นจึงดูไม่เกี่ยวข้องกับการแก้ไข เมื่อเกตเวย์ไม่สามารถเสนอสิ่งที่ไคลเอนต์ใหม่ใช้งานได้ ทางเลือกที่ซื่อสัตย์คือไคลเอนต์ที่ยังพูดโปรโตคอลเก่าหรือการย้ายเกตเวย์ที่วางแผนไว้ การเดาระหว่างสองทางนั้นเสียเวลาหลายสัปดาห์และไม่ได้สอนอะไรเลย

ปฏิบัติต่อโปรไฟล์เก่าเป็นวัสดุที่ละเอียดอ่อน

โปรไฟล์เก่าอาจมีชื่อโฮสต์ภายใน ชื่อกลุ่ม และบางครั้งมีวัสดุข้อมูลรับรองที่จัดเก็บไว้ ซึ่งเป็นรูปร่างของสิ่งของที่ตัวแปลงสาธารณะและกระทู้ฟอรัมเก็บสะสมพอดี ให้ผู้ดูแลอ่านฟิลด์ผ่านช่องทางที่ได้รับอนุมัติแทนการอัปโหลดไฟล์ไปที่ใดก็ตาม

จงต้านทานการล่อใจที่จะทำให้การย้ายระบบขึ้นอยู่กับไคลเอนต์เบตา ระบบแขกที่ไม่รองรับ หรือการพิสูจน์ตัวตนที่อ่อนแอกว่าซึ่งเลือกมาเพื่อประคองไคลเอนต์ที่ล้าสมัย ราคาและหน้าดาวน์โหลดเก่าไม่ใช่หลักฐานที่ดีกว่าตัว PCF เอง เพราะมันอธิบายสิทธิจากอีกยุคหนึ่ง ไม่ใช่สัญญาที่คุณต้องการตอนนี้