Які VPN-протоколи ваша операційна система вже розуміє?

Перш ніж завантажувати ще один клієнт, подивіться, що операційна система вже реалізує, бо відповіді часто достатньо, щоб повністю обійтися без інсталятора. Windows, macOS і ChromeOS постачаються з фіксованим і коротким списком протоколів тунелів, і шлюзу, який говорить одним із них, не потрібні додатковий драйвер, служба чи шлях оновлення. Це вирішує не ім'я постачальника в брошурі. Це вирішують протокол, спосіб автентифікації кінцевої точки та адреса, якої вона очікує.

Питайте протокол, а не назву продукту

Назва продукту дуже мало говорить про те, що йде по дроту. Два шлюзи, що продаються під одним ярликом, можуть вимагати зовсім різних тунелів, і один може приймати вбудований клієнт, тоді як інший відмовляє в усьому, крім власного порталу. Два адміністратори, які описують один і той самий ящик, можуть розходитися і обидва бути праві, бо описують різні рівні. Тунель унизу — це те, що вирішує, чи потрібен інсталятор.

Поставте три питання тому, хто керує шлюзом: який протокол тунелю, який метод автентифікації і яку адресу та суфікс DNS має прийняти клієнт. Просіть протокол за назвою, і коли відповідь приходить назвою продукту, поясніть, чому потрібен саме протокол. Ці три відповіді вирішують питання клієнта до завантаження будь-якого програмного забезпечення.

Є причина, чому назва продукту живе в стількох заявках. URL порталу — це те, що бачать користувачі, а тунель невидимий, поки працює. Записати протокол у передавальну нотатку коштує одного рядка і знімає неоднозначність для всіх, хто прийде пізніше.

Де закінчується вбудований список

Власні списки короткі, і їхні краї важливіші за вміст. Платформа, яка говорить по L2TP поверх IPsec із заздалегідь спільним ключем, не буде говорити SSTP, і ця різниця вирішує клієнта. Таблиця впорядкована за тунелем, а не за постачальником, тому ви можете знайти протокол, названий шлюзом.

Читайте таблицю щодо вимог шлюзу, а не брошури. Якщо відповідь — L2TP поверх IPsec із заздалегідь спільним ключем, перші три платформи підключаються без нічого додатково встановленого. Якщо відповідь — OpenVPN, до встановлення чогось покритий лише ChromeOS. Протокол, якого немає в жодному вбудованому стовпці, — чесний сигнал, що інсталятор уже в дорозі.

Linux — це стовпець, який чинить опір узагальненню. Підтримка протоколів там живе в демонах і плагінах, які дистрибутив вирішує пакувати, тож мінімальний образ може не говорити жодним із них, доки ви їх не додасте, і два дистрибутиви з одним робочим столом можуть різнитися.

Зберіть профіль із командного рядка

Усе, що записує графічна панель, зберігається десь, куди ви можете дістатися, і саме це робить вбудований профіль автоматизованим. Windows тримає записи VPN у .pbk файлах у профілі користувача та в ProgramData, а rasphone може перелічувати й редагувати записи, які список мереж не показує. Це важливо, коли машину готують скриптом і ніхто не буде клацати майстром. Це також пояснює, як профіль може існувати, жодного разу не з'явившись у лотку.

rasdial
rasdial "VpnName" alice
rasdial "VpnName" /disconnect

Ручне редагування .pbk файлу працює, і це також найшвидший спосіб його зіпсувати, тож нехай формат належить інструменту. macOS тримає свої служби в системній конфігурації, а networksetup звертається до них за назвою служби; кілька прапорців хочуть адресу, а не ім'я хоста, тож спершу розв'яжіть кінцеву точку і збережіть значення, яке клієнт справді використає. Ця різниця кусає під час автоматизації, бо скрипт, що працює з адресою, може зазнати невдачі з іменем, і помилка виглядає як зламаний шлюз, а не як відхилений аргумент.

networksetup -listallnetworkservices
networksetup -getinfo "ServiceName"
networksetup -setmanualwithdhcprouter "ServiceName" 198.51.100.20

Назви служб локалізовані й редагуються користувачем, тож скрипт, який жорстко кодує Wi-Fi ламається на першій машині, налаштованій на іншу мову. Читайте назву з команди списку і передавайте її далі, а не вгадуйте.

Сертифікати без власного клієнта

Деякі розгортання потребують клієнтського сертифіката і нічого більше власного, і це проміжний випадок, який варто перевірити, перш ніж приймати драйвер. Розміщення сертифіката в сховищі платформи підтримується; це не та сама дія, що кинути кореневий сертифікат постачальника і сподіватися, що клієнт його знайде. Перше — усвідомлене розміщення; друге — здогад із прикріпленою заявкою в підтримку.

Деталь, яка ловить людей, — яке сховище читає клієнт. Сертифікат у сховищі користувача невидимий для клієнта, налаштованого на сховище машини, і отримане повідомлення каже, що сертифіката немає, а не що він лежить не там. Перевірте обидва сховища, перш ніж зробити висновок, що сертифікат неправильний. Запишіть, яке з них використовує робоча конфігурація, бо ця нотатка переживе сертифікат, коли машину перезберуть.

Windows явно розділяє два сховища, а macOS відділяє зв'язку ключів входу від системної зв'язки ключів. Назви різняться, але режим відмови ідентичний: чинний сертифікат, на який клієнт ніколи не дивиться.

Що змушує ставити інсталятор

Деякі шлюзи прив'язують клієнт до приватного сховища сертифікатів, агента стану або обміну входу, який операційна система не може виконати. Розгортання на обладнанні Check Point, Cisco чи Fortinet часто опиняються там, і в них вбудований клієнт не є коротким шляхом. Заміна від третьої сторони може підключитися і все ж порушити політику, що робить це рішенням із безпеки, а не зручності. Встановіть те, що вимагає політика, і запишіть причину поруч із версією інсталятора.

Цей запис — та частина, яку люди пропускають, і та, що економить наступному адміністратору тиждень: протокол, метод автентифікації, родина адрес і потрібний суфікс, з одним рядком обґрунтування для кожного двійкового файлу, який довелося додати. Покладіть його туди, де живуть нотатки інсталятора, а не в гілку чату. Два рядки документації запобігають повторному розслідуванню.