Ano ang i-configure nang maaga bago ang unang koneksyon ng VPN ng isang user

Ang unang koneksyon ng VPN ay bihirang mabigo sa tunnel. Nabigo ito kapag ang isang ordinaryong user, sa isang network na hindi pinamamahalaan, ay sumusunod sa mga tagubiling isinulat ng isang taong may naka-install nang certificate. Ang profile, ang chain ng tiwala at ang kredensyal ay configuration, at lahat ng tatlo ay maaaring maihatid bago pa ma-involve ang user. Ang dapat matira sa user na iyon ay apat na aksyon na walang desisyon sa loob. Ang bawat dagdag na hakbang na iiwan mo sa paghahatid ay nagiging isang tawag sa suporta na nagsisimula sa isang taong nagbabasa ng dialog box nang malakas.

Ano ang aktuwal na dinadala ng isang profile ng koneksyon

Ang profile ng VPN ay hindi shortcut o bookmark. Ito ay isang pinangalanang object sa tindahan ng koneksyon ng operating system, na may address ng server, uri ng tunnel, paraan ng pagpapatunay at kadalasan ang mga ruta, DNS suffix at trigger rule na nagpapasya kung kailan ito kumokonekta. Sa Windows ang mga field na iyon ay tumutugma sa mga node ng tagapagbigay ng serbisyo ng configuration na VPNv2, kaya isang profile ang makakarating sa pamamagitan ng Intune, Configuration Manager, provisioning package o manu-manong import na XML file.

Inilalapat ng client ang object na iyon sa isang takdang pagkakasunod-sunod: pinapatunayan nito ang certificate ng server laban sa mga pinagkakatiwalaang root, nakikipagnegosasyon sa tunnel, at pagkatapos lamang ilapat ang routing at resolusyon ng pangalan bago makakita ng network ang isang application. Ang pagkakasunod-sunod na iyon ang nagpapaliwanag sa karamihan ng ulat tungkol sa koneksyong sinasabing aktibo habang walang naglo-load: nagtagumpay ang pagpapatunay at ang talagang nabigo ay ang DNS o ang listahan ng ruta. Basahin ang profile bilang isang object na may pagkakasunod-sunod, hindi bilang set ng mga malayang switch. Ang kulang na root ng tiwala ay nabigo sa unang hakbang, bago mag-alok ng anumang kredensyal, kaya naglalabas ito ng pangkalahatang error sa halip na kahilingan sa pag-sign in.

Ang materyal ng tiwala ang field na pinakamadalas ipuslit sa pamamagitan ng kamay. Ang certificate ng CA na pumipirma sa gateway ay dapat naroroon bago ang unang pagtatangka, at ang pagpapatunay ng pangalan ng server ay dapat manatiling bukas na may tugmang pangalan; ang pagpatay sa pagpapatunay upang pumasa ang isang pagsubok ay ginagawang tahimik na pagharang ang isang problema sa pagpapatunay na hindi matutukoy ng sinumang user.

Apat na pagpipilian na hindi dapat gawin ng mga user

Protokol at uri ng tunnel ang nauuna: pumili ng isang suportadong kombinasyon kada platform at idokumento ang panig ng gateway, dahil ang pamilyar na pangalan ng brand ay hindi pahayag ng pagiging tugma. Susunod ang endpoint: isang hostname na nalulutas sa publiko at tumutugma sa certificate na ipinapakita ng gateway. Ang pagpapatunay ay kabilang sa sistema ng pagkakakilanlan, maging certificate, username na may ikalawang salik, o pareho. Wala sa mga ito ang kagustuhan ng user, at wala ang dapat lumitaw bilang tanong sa mga tagubilin.

Ang ikaapat na pagpipilian ay saklaw: buong tunnel o hati na tunnel, at aling mga prefix at DNS suffix ang naglalakbay sa loob. Ang hati na tunnel na walang panloob na suffix ay naglalabas ng resolusyon ng pangalan sa alinmang resolver na iniaalok ng lokal na network, at ang buong tunnel na walang plano para sa lokal na resource ay sumisira sa mga printer at captive portal. Pareho silang desisyon ng administrator na may nakikitang epekto sa user, at iyon ang dahilan kung bakit dapat matanggap ng user ang mga ito nang napagpasyahan na.

Panatilihing boring at stable ang pangalan ng koneksyon. Binabasa ito ng mga user nang malakas sa suporta, hinahanap ito sa listahan ng client at naaalala ito sa pagitan ng mga reset ng password; ang pagpapalit ng pangalan sa gitna ng migrasyon ay gumagawa ng pagtaas ng suporta na walang kinalaman sa kung gumagana ang VPN.

Ihatid ang pagkakakilanlan kada tao o kada aparato

Ang profile ay pampubliko at ang pribadong susi ay hindi. Karaniwang pagkakamali sa rollout ang pag-export ng isang gumaganang profile kasama ang certificate nito at pagpapasa-pasa ng file, na ginagawang kopya ng isang pagkakakilanlan ang bawat laptop at ginagawang desisyong lahat-o-wala ang pagbawi. Sa halip, irehistro ang mga kredensyal sa pamamagitan ng suportadong proseso: certificate kada aparato mula sa channel ng pamamahala, o kredensyal kada user mula sa tagapagbigay ng pagkakakilanlan.

Nagpapatunay ang mga tunnel ng aparato at tunnel ng user sa magkaibang sandali, at ang pagkakaibang iyon ang nagpapasya kung aling kredensyal ang kailangan mo. Ang tunnel ng aparato na kumokonekta bago mag-sign in ay nangangailangan ng certificate ng makina at profile na magagamit ng system. Ang tunnel ng user na nagsisimula pagkatapos ng sign in ay maaaring gumamit ng sariling kredensyal ng user at hindi dapat mangailangan ng karapatan ng administrator. Ang pagdaragdag ng access sa network sa antas ng makina para lamang alisin ang isang click sa umaga ng isang tao ay masamang palitan, dahil pinalalawak nito kung hanggang saan maaaring makarating ang isang aparatong walang bantay.

Ang pagpaparehistro din ang lugar kung saan napagpapasyahan ang landas ng pagbangon. Ang pag-renew ng certificate o pagbabago ng password ay dapat makarating sa aparato habang nakababa ang tunnel, kaya dapat magkasundo ang provisioning, tagapagbigay ng pagkakakilanlan at gateway kung paano ito nangyayari; kung ang tanging paraan upang ayusin ang isang profile ay sa pamamagitan ng tunnel na ibinibigay ng profile na iyon, nakakandado ang susi sa loob ng kahon.

Itugma ang channel ng paghahatid sa client

Ang mga native at third-party na client ay iba ang paghahatid. Ang mga profile ng Windows ay maaaring ihatid bilang VPNv2 ProfileXML sa pamamagitan ng Intune o Configuration Manager, ngunit hindi lahat ng node ay nakalantad sa bawat ibabaw ng pamamahala, at ang mga setting ng routing, DNS at trigger ay nag-iiba ayon sa tool at sa bersyon ng Windows. Kumpirmahin kung aling field ang maaaring i-deploy bago mangako ng deployment na walang hawak, dahil ang sanggunian ng mga opsyon ng profile ay nagdodokumento ng mga setting na hindi pa rin maaaring itakda ng ilang landas ng paghahatid.

Ang mga client ng vendor ay nagdaragdag ng ikalawang sapin, dahil magkahiwalay na artifact ang binary, profile at patakaran ng headend. Halimbawa, sinusuportahan ng Cisco Secure Client ang paunang pag-deploy ng pakete at ng profile nito, at ang bersyon ng client ay dapat i-coordinate sa configuration ng gateway; ang pag-install lamang ng pakete ay nag-iiwan sa user sa loob ng wizard.

Anuman ang channel na piliin mo, panatilihin ang isang pinagmumulan ng katotohanan para sa profile. Ang naayos na profile na tinatakpan ng mas lumang pakete sa susunod na pagsusuri ay paulit-ulit na insidente, at ang matibay na lunas ay bersyonadong configuration, hindi manu-manong pag-edit sa bawat makina.

Subukan ang paghahatid bilang bagong user, pagkatapos ay subukan ang pagbangon

Mag-pilot gamit ang ordinaryong account sa aparatong hindi pa kailanman kumonekta, na walang naka-save na session ng administrator o paunang nakarehistrong certificate. Kumpirmahin na lumilitaw ang profile sa listahan, tugma ang kahilingan sa pag-sign in sa mga tagubilin at bumubukas ang pinangalanang panloob na resource, pagkatapos ay suriin ang resolusyon ng pangalan at saklaw ng routing sa halip na huminto sa icon na konektado.

Tanungin ang tindahan ng profile ng aparato upang ang pagsubok ay magbigay ng ebidensya at hindi impresyon.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Pagkatapos ay dumaan sa mga pangyayaring aktuwal na nararanasan ng mga user: sapilitang pag-reset ng password, na-renew na certificate, itinulak na update ng client at network na wala pang gumamit sa pilot. Ang bawat isa ay dapat gumana o mabigo ayon sa inilalarawan ng mga tagubilin. Subukan din ang network na humaharang sa port ng VPN, dahil ang unang pagtatangka sa Wi-Fi ng hotel ang lugar kung saan tumitigil sa pagtulong ang tagumpay sa bahay. Itala ang bersyon ng client at build ng OS sa tabi ng bawat resulta, dahil darating ang susunod na ulat na wala ang mga iyon.

Panatilihin ang paghahatid sa user sa apat na linya: pangalan ng koneksyon, inaasahang pag-sign in, resource na nagpapatunay ng tagumpay at saan ipapadala ang teksto ng error. Walang dapat tanungin para sa password o na-export na susi upang ipakita ang pagkabigo. Ang arkitektura, loob ng profile at pamamaraan ng pagbangon ay kabilang sa runbook ng administrator, na naka-archive sa tabi ng bersyon ng client na ginamit sa pagsubok.