Kaya bang saklawin ng isang serbisyo ng VPN ang Windows, Mac at Linux na desktop?

Tatlong laptop sa isang koponan, tatlong magkaibang menu ng VPN, at isang tiket na nagsasabing gumagana ang koneksyon kahit saan maliban sa Mac. Maaaring magkapareho ang planong nasa likod ng mga kliyenteng iyon kahit magkaiba ang mga menu. Ang kailangang tumugma ay mas makitid kaysa inaakala ng karamihan sa mga rollout: isang pagkakakilanlan ng gateway, isang uri ng kredensyal, isang set ng ruta at isang patakaran ng resolver. Isulat ang apat na iyon bago mag-export ng profile ang sinuman, at ang gawain sa platform ay magiging checklist sa halip na imbestigasyon.

Magsimula sa kontrata ng access, hindi sa file ng kliyente

Ang kontrata ng access ay limang linya na masusuri ng isang reviewer nang hindi binubuksan ang console ng vendor. Tinutukoy nito ang mga pribadong prefix na dapat maabot, ang mga panloob na pangalang dapat ma-resolve, ang resolver na sumasagot sa mga ito, ang trapikong pinapayagang manatili sa lokal na landas at ang sertipiko ng gateway na dapat asahan ng kliyente. Lahat ng iba pa sa rollout ay pagsasalin ng mga linyang iyon sa isang format ng file.

Ang isang halimbawa sa opisina ay nagpapakongkreto sa hugis: mga application server sa 10.60.0.0/16, mga pribadong pangalan sa ilalim ng corp.example, isang panloob na resolver sa 10.61.0.53 at ang ordinaryong pag-browse ay naiiwan sa landas na ginagamit na ng device. Ang huling aytem ay desisyon sa patakaran, hindi default ng kliyente, at ilang kliyente ang magpapadala ng lahat sa tunnel kung walang magsasabi ng iba. Itala ang kontrata kasama ang petsa at may-ari, dahil ang talang iyon ang magsasabi sa iyo mamaya kung ang tunnel o ang patakaran ang nagbago.

Pumili ng isang protocol at isang pares ng authentication na kaya mong ipagtanggol

Ang IKEv2 na may authentication ng gateway batay sa sertipiko at EAP para sa user ay ang karaniwang pinipili kapag ang tatlong platform ay kailangang gumana nang walang karagdagang software, dahil ang Windows, macOS at NetworkManager ay may kasama na bawat isang kliyente ng IKEv2. Ang problema ay inilalarawan ng pagsuporta sa IKEv2 ang isang label, hindi isang set ng feature. Ang mga paraan ng EAP, mga susi na sinusuportahan ng hardware, pagmamapa ng sertipiko sa account at awtomatikong muling pagkonekta ay ipinapatupad ayon sa platform. Ang kombinasyong gumagana sa dalawa sa tatlo ay karaniwan na dapat mong ipagpalagay hanggang masubukan.

Subukan ang pares sa bawat target na platform bago isulat ang gabay sa deployment, hindi pagkatapos. Ang gateway na nag-aalok ng parehong EAP-MSCHAPv2 at EAP-TLS ay nagbibigay ng puwang para sa fallback, sa kondisyong ang fallback ay dokumentadong sinusuportahan at hindi natuklasan sa gitna ng isang insidente. Dalawang sinusuportahang landas ay murang seguro; ang hindi dokumentadong ikatlong landas ay tiket sa hinaharap.

Kapag walang pares na sumasaklaw sa tatlong kliyente, ang tapat na mga opsyon ay magdagdag ng kliyente, magdagdag ng profile sa gateway, o paliitin ang listahan ng sinusuportahang platform. Ang pagpatay sa validation ng sertipiko sa platform na pinakamalakas magreklamo ay hindi isa sa kanila. Ang pagbabagong iyon ay ginagawang panganib ng interception ang agwat sa compatibility, at wala sa mga susunod na hakbang sa deployment ang makakapag-ayos nito.

Bumuo ng isang artifact sa bawat platform mula sa kontrata

Gumagamit ang Windows ng profile ng VPNv2, inihatid sa pamamagitan ng MDM o ginawa nang lokal gamit ang Add-VpnConnection at ang XML payload nito. Ang kumakagat ay saklaw at tiwala. Ang profile na may saklaw ng device at ang may saklaw ng user ay naka-install sa magkaibang tindahan, kaya ang sertipikong kailangan ng kliyente ay dapat nasa tindahang tumutugma sa piniling saklaw. Ang maling pagpapares nito ay gumagawa ng profile na malinis na na-import at pagkatapos ay nabigo sa unang koneksyon.

Gumagamit ang macOS ng configuration profile na may managed VPN payload, nilagdaan at ipinamahagi sa MDM o mano-manong ini-install para sa pilot. Ang pagkakakilanlan at ang CA chain ay naglalakbay bilang magkaibang payload, kaya ang isang profile ay maaaring ma-install nang walang reklamo at nabigo pa rin sa oras ng pagkonekta. Suriin ang listahan ng payload, hindi lang ang resulta ng pag-install.

Ang Linux ay nakasalalay sa backend sa likod ng NetworkManager, at ang strongSwan at ang plugin ng NetworkManager ay magkaibang package. Ang mga katangian ng koneksyon ay partikular sa plugin at hindi generic na susi ng VPN, kaya ang isang susi na kinopya mula sa ibang plugin ay madalas na nai-save nang walang error at pagkatapos ay nabigo sa activation. Buuin ang koneksyon sa isang malinis na imahe upang kumpirmahin na ang plugin ay naroon kung saan talaga ito tatakbo.

Magkaiba ang format ng tatlong artifact, ngunit ang bawat isa ay nagko-code ng parehong limang linya ng kontrata. Iyon ang pagsubok kung kumpleto na ang isang artifact: ang bawat linya ay kinakatawan sa isang lugar at walang dagdag na inimbento sa daan.

I-verify ang mga ruta, resolver at muling pagkonekta sa isang malinis na account

Ang konektado ay hindi ang acceptance test. Sa Windows, ipinapakita ng Get-VpnConnection ang profile at ipinapakita ng route print kung ang pribadong prefix ay lumapag sa interface ng tunnel. Sa macOS, kinukumpirma ng scutil --nc list ang aktibong serbisyo habang ipinapakita ng scutil --dns ang pagkakasunod-sunod ng resolver na talagang gagamitin ng system.

Sa Linux, pinatutunayan ng nmcli connection show --active na nakabukas ang koneksyon at ipinapakita ng resolvectl status ang DNS kada link. Ang resolver na nasa file ng koneksyon pero wala sa output kada link ay nangangahulugang hindi ginagamit ang split DNS. Iyon ang pagkakaiba ng mga pangalang nagre-resolve at mga pangalang nagre-resolve sa pamamagitan ng tunnel, at binabago nito kung aling support team ang may hawak ng susunod na hakbang. Ihambing ang output kada link bago at pagkatapos bumangon ang koneksyon, hindi lang pagkatapos.

Patakbuhin ang buong pagsusuri sa isang bagong account, walang naka-cache na kredensyal at walang sertipikong ini-install ng administrator. Pagkatapos ay ulitin ito pagkatapos ng suspend at resume, at isa pang beses pagkatapos pilitin ang muling paglalagay ng kredensyal. Ang dalawang transisyong iyon ay naglalabas ng karamihan sa mga pagkabigo sa muling pagkonekta na hindi kailanman ipinapakita ng unang koneksyon.

Bigyan ng bersyon ang package at panatilihin ang daan ng rollback

Lagyan ng tag ang bawat package ng platform ng rebisyon ng kontratang ipinapatupad nito, at itala ang mga bersyon ng kliyente at gateway na ginamit mo para tanggapin ito. Kapag nagbago ang pag-uugali pagkatapos ng update ng kliyente, ang tag ay tumuturo sa isang kontratang muling susubukan sa halip na isang file na huhulaan.

Panatilihing makukuha ang nakaraang package ng bawat platform at isulat ang command ng pag-alis sa tabi nito. Ang pag-uninstall ng profile ng VPN ay hindi salamin ng pag-install nito sa Windows, macOS o Linux, at ang mga pagkakaiba ay lumalabas sa pinakamasamang sandali. Sanayin ang pag-alis nang isang beses sa isang ekstrang device upang ang archive ay maging plano at hindi pag-asa.