Bir kullanıcının ilk VPN bağlantısından önce neler önceden yapılandırılmalı

İlk VPN bağlantısı nadiren tünelde başarısız olur. Yönetilmeyen bir ağda sıradan bir kullanıcı, sertifikayı zaten kurmuş birinin yazdığı talimatları izlediğinde başarısız olur. Profil, güven zinciri ve kimlik bilgisi yapılandırmadır ve üçü de kullanıcı işin içine girmeden önce teslim edilebilir. O kullanıcıya kalan şey, içinde karar olmayan dört eylem olmalıdır. Teslimde bıraktığınız her ek adım, birinin iletişim kutusunu yüksek sesle okumasıyla başlayan bir destek çağrısına dönüşür.

Bir bağlantı profili gerçekte ne taşır

Bir VPN profili kısayol ya da yer imi değildir. İşletim sisteminin bağlantı deposunda adlandırılmış bir nesnedir; sunucu adresini, tünel türünü, kimlik doğrulama yöntemini ve çoğu zaman ne zaman bağlanacağını belirleyen rotaları, DNS son eklerini ve tetikleme kurallarını içerir. Windows'ta bu alanlar VPNv2 yapılandırma hizmeti sağlayıcısının düğümlerine karşılık gelir; bu yüzden tek bir profil Intune, Configuration Manager, sağlama paketi veya elle içe aktarılan bir XML dosyası üzerinden gelebilir.

İstemci bu nesneyi sabit bir sırayla uygular: sunucu sertifikasını güvenilen köklere göre doğrular, tüneli müzakere eder ve ancak ondan sonra bir uygulama ağı görmeden önce yönlendirmeyi ve ad çözümlemesini uygular. Bu sıra, bağlantının açık olduğunu söylediği ama hiçbir şeyin yüklenmediği bildirimlerin çoğunu açıklar: kimlik doğrulama başarılı olmuş, gerçekte başarısız olan DNS ya da rota listesi olmuştur. Profili bağımsız anahtarlar kümesi değil, sırası olan tek bir nesne olarak okuyun. Eksik bir güven kökü ilk adımda, herhangi bir kimlik bilgisi sunulmadan başarısız olur; bu yüzden oturum açma istemi yerine genel bir hata üretir.

Güven malzemesi, en sık elle gizlice sokulan alandır. Ağ geçidini imzalayan CA sertifikası ilk denemeden önce bulunmalı ve sunucu adı doğrulaması eşleşen bir adla açık kalmalıdır; bir testi geçirmek için doğrulamayı kapatmak, kimlik doğrulama sorununu hiçbir kullanıcının fark edemeyeceği sessiz bir araya girmeye dönüştürür.

Kullanıcıların asla yapmaması gereken dört seçim

Protokol ve tünel türü ilk sırada: platform başına desteklenen tek bir bileşim seçin ve ağ geçidi tarafını belgeleyin, çünkü tanıdık bir marka adı uyumluluk beyanı değildir. Ardından uç nokta: herkese açık şekilde çözülen ve ağ geçidinin sunduğu sertifikayla eşleşen tek bir ana bilgisayar adı. Kimlik doğrulama kimlik sistemine aittir; ister sertifika, ister ikinci faktörlü kullanıcı adı, isterse ikisi birden olsun. Bunların hiçbiri kullanıcı tercihi değildir ve hiçbiri talimatlarda soru olarak görünmemelidir.

Dördüncü seçim kapsamdır: tam tünel mi bölünmüş tünel mi ve hangi öneklerle DNS son eklerinin içinde yol aldığı. İç son ekleri olmayan bölünmüş tünel, ad çözümlemesini yerel ağın sunduğu herhangi bir çözümleyiciye sızdırır; yerel kaynak planı olmayan tam tünel ise yazıcıları ve esir portalleri bozar. İkisi de kullanıcıya görünen etkileri olan yönetici kararlarıdır ve tam da bu yüzden kullanıcı bunları çoktan karara bağlanmış olarak almalıdır.

Bağlantı adını sıkıcı ve kararlı tutun. Kullanıcılar onu desteğe yüksek sesle okur, istemci listesinde arar ve parola sıfırlamaları arasında hatırlar; geçişin ortasında adını değiştirmek, VPN'in çalışıp çalışmamasıyla hiç ilgisi olmayan bir destek artışı yaratır.

Kimliği kişi başına ya da cihaz başına teslim edin

Profil herkese açıktır, özel anahtar değildir. Yaygın bir dağıtım hatası, çalışan tek bir profili sertifikasıyla birlikte dışa aktarıp dosyayı elden ele dolaştırmaktır; bu her dizüstü bilgisayarı tek bir kimliğin kopyası yapar ve iptali ya hep ya hiç kararına dönüştürür. Bunun yerine kimlik bilgilerini desteklenen süreçle kaydedin: yönetim kanalından cihaz başına sertifika ya da kimlik sağlayıcısından kullanıcı başına kimlik bilgisi.

Cihaz tünelleri ile kullanıcı tünelleri farklı anlarda kimlik doğrular ve bu fark hangi kimlik bilgisine ihtiyacınız olduğunu belirler. Oturum açmadan önce bağlanan cihaz tüneli bir makine sertifikası ve sistemin erişebildiği bir profil gerektirir. Oturum açtıktan sonra başlayan kullanıcı tüneli kullanıcının kendi kimlik bilgisini kullanabilir ve yönetici hakları istememelidir. Birinin sabahından tek bir tıklamayı kaldırmak için makine düzeyinde ağ erişimi eklemek kötü bir takastır, çünkü gözetimsiz bir cihazın nereye ulaşabileceğini genişletir.

Kayıt aynı zamanda kurtarma yolunun belirlendiği yerdir. Sertifika yenileme ya da parola değişikliği tünel aşağıdayken cihaza ulaşmalıdır; bu yüzden sağlama, kimlik sağlayıcısı ve ağ geçidi bunun nasıl olacağı konusunda anlaşmalıdır; bir profili onarmanın tek yolu o profilin sağladığı tünelden geçiyorsa anahtar kutunun içinde kilitlidir.

Teslim kanalını istemciyle eşleştirin

Yerel ve üçüncü taraf istemciler farklı biçimlerde teslim edilir. Windows profilleri Intune veya Configuration Manager üzerinden VPNv2 ProfileXML olarak teslim edilebilir, ancak her düğüm her yönetim yüzeyinde açık değildir ve yönlendirme, DNS ve tetikleme ayarları araca ve Windows sürümüne göre değişir. Sıfır dokunuşlu bir dağıtım vaat etmeden önce hangi alanın dağıtılabildiğini doğrulayın, çünkü profil seçenekleri başvurusu bazı teslim yollarının hâlâ ayarlayamadığı ayarları belgeler.

Satıcı istemcileri ikinci bir katman ekler, çünkü ikili dosya, profil ve baş uç ilkesi ayrı eserlerdir. Örneğin Cisco Secure Client hem paketin hem de profilinin önceden dağıtılmasını destekler ve istemci sürümü ağ geçidi yapılandırmasıyla eşgüdümlü olmalıdır; yalnızca paketi kurmak kullanıcıyı bir sihirbazın içinde bırakır.

Hangi kanalı seçerseniz seçin, profil için tek bir doğruluk kaynağı tutun. Daha eski bir paketin sonraki denetimde üzerine yazdığı onarılmış profil yinelenen bir olaydır ve kalıcı çözüm her makinede elle düzenleme değil, sürümlenmiş yapılandırmadır.

Teslimi yeni kullanıcı olarak test edin, ardından kurtarmayı test edin

Hiç bağlanmamış bir cihazda normal bir hesapla pilot yapın; yöneticinin kayıtlı oturumu ya da önceden kaydedilmiş sertifikası olmasın. Profilin listede göründüğünü, oturum açma isteminin talimatlarla eşleştiğini ve adlandırılmış bir iç kaynağın açıldığını doğrulayın, ardından bağlı simgesinde durmak yerine ad çözümlemesini ve yönlendirme kapsamını denetleyin.

Cihazın profil deposunu sorgulayın ki test izlenim değil kanıt üretsin.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Sonra kullanıcıların gerçekten karşılaştığı olayları gezin: zorunlu parola sıfırlama, yenilenmiş sertifika, itilen istemci güncellemesi ve pilotta kimsenin daha önce kullanmadığı bir ağ. Her biri ya çalışmalı ya da talimatların anlattığı biçimde başarısız olmalıdır. VPN bağlantı noktasını engelleyen bir ağı da deneyin, çünkü otel Wi-Fi'sindeki ilk deneme evdeki başarının yardım etmeyi bıraktığı yerdir. Her sonucun yanına istemci sürümünü ve işletim sistemi derlemesini yazın, çünkü sonraki rapor bunlar olmadan gelecektir.

Kullanıcıya yönelik teslimi dört satırda tutun: bağlantının adı, beklenen oturum açma, başarıyı kanıtlayan kaynak ve hata metninin nereye gönderileceği. Hiç kimseden bir arızayı göstermek için parola ya da dışa aktarılmış anahtar istenmemelidir. Mimari, profilin içi ve kurtarma yordamı yöneticinin el kitabına aittir ve test edildikleri istemci sürümünün yanında saklanır.