Hồ sơ VPN chỉ có PCF: cần hỏi gì trước khi chuyển đổi

Ai đó đưa bạn một tệp .pcf và một máy tính xách tay rồi mong kết nối hoạt động đúng như nhiều năm trước. Thường thì nó sẽ không như vậy, và định dạng tệp hiếm khi là nguyên nhân. PCF ghi lại các tham số mà Cisco VPN Client cũ cần để đến một bộ tập trung cụ thể; nó không nói gì về việc một ứng dụng khách hiện tại còn có thể nói chuyện với dịch vụ đó hay không. Tệp là bằng chứng về một kết nối đã qua, không phải hợp đồng cho kết nối tiếp theo.

Tách bằng chứng đó khỏi các yêu cầu chính là toàn bộ công việc. Chủ sở hữu cổng kết nối nợ bạn một tổ hợp được hỗ trợ gồm ứng dụng khách, giao thức, phương thức xác thực và định dạng hồ sơ, và đó là câu hỏi khác với việc liệu một ứng dụng nào đó có mở hồ sơ cũ của bạn hay không.

Tệp trong tay bạn thực sự ghi lại điều gì

PCF là một hồ sơ nhỏ gồm các mục kết nối: một máy chủ hoặc một cặp chính và dự phòng, một tên nhóm, và các gợi ý về cách ứng dụng khách nên trình bày thông tin xác thực. Nó không chứa đàm phán giao thức, không có quyết định tin cậy và không có tuyên bố về năng lực hiện tại của cổng. Đọc nó cho bạn biết ứng dụng khách cũ đã quay số đến đâu và dưới tên nhóm nào, và phần đó thực sự là bối cảnh hữu ích cho người quản lý đầu cuối.

Điều nó không thể nói là liệu dịch vụ phía sau tên máy chủ đó còn chấp nhận cùng giao thức hay không, hoặc tài khoản có tồn tại ở dạng khớp với các gợi ý hay không. Những câu trả lời đó nằm trên cổng và trong kho định danh, nên hãy hỏi ở đó trước khi xây dựng.

Ba yêu cầu trông như một

Yêu cầu thứ nhất là tương thích trên đường truyền: ứng dụng khách phải triển khai giao thức truy cập từ xa mà cổng kết thúc. Thứ hai là xác thực, trong đó phương thức mà cổng yêu cầu — chứng chỉ, thông tin xác thực nhóm cùng MFA, hoặc EAP — phải là phương thức mà ứng dụng khách thực sự có thể thực hiện. Thứ ba là chính sách: đường hầm chia tách, DNS, các nhóm địa chỉ và mọi kiểm tra trạng thái, tất cả được cấu hình trên cổng và giao cho ứng dụng khách trong một hồ sơ mà nó phải chấp nhận.

PCF cung cấp bằng chứng yếu về yêu cầu thứ hai và thực tế không có gì về hai yêu cầu còn lại. Tính năng nhập làm mờ ranh giới hơn nữa: một ứng dụng khách ánh xạ các trường cũ sang định dạng riêng của nó có thể nhập thành công nhưng không kết nối được, và điều ngược lại cũng có thể.

Năm câu hỏi tạo ra câu trả lời dùng được

Hãy gửi câu hỏi thay vì tệp. Tổ hợp dịch vụ truy cập từ xa và ứng dụng khách nào được hỗ trợ hôm nay; dịch vụ đó trình bày giao thức nào ra internet; phương thức xác thực và đường đăng ký nào áp dụng; hồ sơ, neo tin cậy và chính sách nhóm hoặc MFA nào đi kèm; và những phần nào khác với kết nối cũ. Mỗi câu trả lời tương ứng với một trong ba yêu cầu ở trên.

Danh sách đó biến một cuộc thảo luận về định dạng tệp thành quyết định về hỗ trợ, và thường trả về một liên kết tài liệu cùng một người phụ trách có tên thay vì một cái nhún vai. Nó cũng cho bạn biết sớm liệu việc chuyển đổi là hồ sơ mới đối với dịch vụ hiện có, hay là thay đổi cổng mà chưa ai lên kế hoạch. Hãy hỏi bằng văn bản, vì các câu trả lời trở thành tiêu chí chấp nhận cho những gì bạn xây tiếp theo. Giữ cả tên nhóm cũ trong phiếu, vì đó thường là cách nhanh nhất để người vận hành tìm ra chính sách tương ứng.

Đổi tên không dịch được gì

Cisco Secure Client ghi lại hồ sơ XML bằng các lựa chọn giao thức riêng, nên đổi tên một .pcf thành .xml không tạo ra XML hay cài đặt. Dán một tên máy chủ vào tệp OpenVPN không làm cho cổng IPsec nói OpenVPN, và một ứng dụng khách IKEv2 gốc không trở nên tương thích với dịch vụ cũ hơn chỉ vì cả hai đều được mô tả là IPsec.

Mỗi thao tác đó đổi một nhãn và để nguyên hành vi trên đường truyền, đó là lý do sự cố phát sinh trông không liên quan đến chỉnh sửa. Khi cổng không thể cung cấp điều mà ứng dụng khách mới triển khai, các lựa chọn trung thực là một ứng dụng khách vẫn nói giao thức cũ hoặc một cuộc chuyển đổi cổng có kế hoạch. Đoán giữa hai hướng tốn hàng tuần và không dạy được gì.

Coi hồ sơ cũ là tài liệu nhạy cảm

Hồ sơ cũ có thể chứa tên máy chủ nội bộ, tên nhóm và đôi khi cả dữ liệu xác thực đã lưu, đúng là dạng thứ mà các trình chuyển đổi công khai và các luồng diễn đàn thu thập. Hãy để quản trị viên đọc các trường qua một kênh được phê duyệt thay vì tải tệp lên bất cứ đâu.

Hãy chống lại cám dỗ đặt việc chuyển đổi phụ thuộc vào một ứng dụng khách beta, một hệ thống khách không được hỗ trợ hoặc xác thực yếu hơn được chọn để giữ cho ứng dụng khách lỗi thời sống sót. Giá và trang tải xuống cũ không phải bằng chứng tốt hơn chính PCF, vì chúng mô tả một quyền từ thời đại khác, không phải hợp đồng bạn cần bây giờ.