VPN-профіль лише з PCF: що спитати перед міграцією

Хтось передає вам файл .pcf і ноутбук та очікує, що з'єднання працюватиме точно так, як роки тому. Зазвичай цього не станеться, і формат файлу рідко буває причиною. PCF записує параметри, які були потрібні старому Cisco VPN Client, щоб дістатися одного конкретного концентратора; він нічого не каже про те, чи може теперішній клієнт і далі говорити з цим сервісом. Файл — це свідчення про минуле з'єднання, а не договір на наступне.

Відокремити це свідчення від вимог — і є все завдання. Власник шлюзу винен вам підтримувану комбінацію клієнта, протоколу, методу автентифікації та формату профілю, і це інше питання, ніж те, чи відкриє якийсь застосунок ваш старий профіль.

Що насправді фіксує файл у ваших руках

PCF — це невеликий профіль із записів з'єднання: хост або пара основний і резервний, назва групи й підказки про те, як клієнт має подавати облікові дані. У ньому немає ні узгодження протоколу, ні рішення про довіру, ні заяви про поточні можливості шлюзу. Читання каже вам, куди й під якою назвою групи звертався старий клієнт, і ця частина — справді корисний контекст для того, хто відповідає за головний вузол.

Чого він сказати не може, то це чи приймає сервіс за цим іменем хоста той самий протокол і чи існує обліковий запис у формі, що відповідає підказкам. Ці відповіді живуть на шлюзі та в сховищі ідентичностей, тож спитайте там, перш ніж будувати.

Три вимоги, які виглядають як одна

Перша вимога — сумісність на рівні мережі: клієнт має реалізовувати протокол віддаленого доступу, який завершує шлюз. Друга — автентифікація, де метод, якого вимагає шлюз, чи то сертифікат, групові облікові дані разом з MFA, чи EAP, має бути таким, який клієнт справді може виконати. Третя — політика: розділений тунель, DNS, пули адрес і будь-які перевірки стану, усе налаштовано на шлюзі й передано клієнту в профілі, який він мусить прийняти.

PCF дає слабке свідчення про другу вимогу і практично жодного про дві інші. Функція імпорту ще більше розмиває межу: клієнт, який переносить старі поля у свій формат, може успішно імпортувати і при цьому не підключитися, і зворотне також можливе.

П'ять питань, які дають придатну відповідь

Надсилайте питання, а не файл. Яка комбінація сервісу віддаленого доступу й клієнта підтримується сьогодні; який протокол цей сервіс показує в інтернет; який метод автентифікації та шлях реєстрації діють; який профіль, які корені довіри й яка групова політика або політика MFA до них належать; і які частини відрізняються від старого з'єднання. Кожна відповідь відповідає одній із трьох вимог вище.

Цей список перетворює розмову про формати файлів на рішення про підтримку й зазвичай повертає посилання на документацію та названого відповідального замість знизування плечима. Він також заздалегідь каже, чи є міграція новим профілем проти наявного сервісу, чи зміною шлюзу, яку ще ніхто не запланував. Питайте письмово, бо відповіді стають критеріями приймання того, що ви збудуєте далі. Збережіть у заявці й стару назву групи, адже це часто найшвидший спосіб для оператора знайти відповідну політику.

Перейменування нічого не перекладає

Cisco Secure Client документує профілі XML зі своїми власними варіантами протоколу, тому перейменування .pcf на .xml не дає ні XML, ні налаштувань. Вставляння імені хоста у файл OpenVPN не змушує шлюз IPsec говорити OpenVPN, а вбудований клієнт IKEv2 не стає сумісним зі старішим сервісом лише тому, що обидва описують як IPsec.

Кожен із цих кроків змінює ярлик і залишає поведінку в мережі недоторканою, тому виникла несправність виглядає не пов'язаною з правкою. Коли шлюз не може запропонувати те, що реалізує новий клієнт, чесні варіанти — клієнт, який досі говорить старим протоколом, або запланована міграція шлюзу. Вгадування між ними коштує тижнів і нічого не вчить.

Ставтеся до старого профілю як до чутливого матеріалу

Старий профіль може містити внутрішнє ім'я хоста, назву групи й іноді збережені облікові дані, а це саме та форма, яку збирають публічні конвертери й теми форумів. Нехай адміністратор прочитає поля через схвалений канал, замість того щоб кудись завантажувати файл.

Опирайтеся спокусі поставити міграцію в залежність від бета-клієнта, непідтримуваної гостьової системи або слабшої автентифікації, обраної, щоб підтримати життя застарілого клієнта. Старі ціни та сторінки завантаження — не краще свідчення, ніж сам PCF, бо вони описують право з іншої епохи, а не договір, який потрібен вам тепер.