Cần cấu hình trước những gì trước kết nối VPN đầu tiên của người dùng

Kết nối VPN đầu tiên hiếm khi hỏng ở đường hầm. Nó hỏng khi một người dùng bình thường, trên mạng không được quản lý, làm theo hướng dẫn do người đã cài chứng chỉ sẵn viết ra. Hồ sơ, chuỗi tin cậy và thông tin xác thực đều là cấu hình, và cả ba đều có thể được giao trước khi người dùng tham gia. Điều còn lại cho người dùng đó nên là bốn thao tác không có quyết định nào bên trong. Mỗi bước thừa bạn để lại trong bàn giao sẽ thành một cuộc gọi hỗ trợ bắt đầu bằng việc ai đó đọc to một hộp thoại.

Hồ sơ kết nối thực sự mang theo những gì

Hồ sơ VPN không phải lối tắt hay dấu trang. Nó là một đối tượng có tên trong kho kết nối của hệ điều hành, chứa địa chỉ máy chủ, loại đường hầm, phương thức xác thực và thường cả tuyến đường, hậu tố DNS cùng các quy tắc kích hoạt quyết định khi nào nó kết nối. Trên Windows, những trường đó ánh xạ tới các nút của nhà cung cấp dịch vụ cấu hình VPNv2, đó là lý do một hồ sơ có thể đến qua Intune, Configuration Manager, gói cung cấp hoặc tệp XML được nhập thủ công.

Ứng dụng khách áp dụng đối tượng đó theo một thứ tự cố định: nó xác thực chứng chỉ máy chủ với các gốc tin cậy, thương lượng đường hầm, và chỉ sau đó mới áp dụng định tuyến và phân giải tên trước khi một ứng dụng nhìn thấy mạng. Thứ tự đó giải thích phần lớn báo cáo về một kết nối nói rằng đã lên nhưng không có gì tải được: xác thực đã thành công và thứ thực sự hỏng là DNS hoặc danh sách tuyến đường. Hãy đọc hồ sơ như một đối tượng duy nhất có trình tự, không phải một tập công tắc độc lập. Một gốc tin cậy thiếu sẽ hỏng ngay bước đầu, trước khi bất kỳ thông tin xác thực nào được đưa ra, vì thế nó tạo ra lỗi chung thay vì lời nhắc đăng nhập.

Vật liệu tin cậy là trường thường bị đưa vào lén bằng tay nhất. Chứng chỉ CA ký cổng phải có mặt trước lần thử đầu tiên, và việc kiểm tra tên máy chủ phải được giữ bật với tên khớp; tắt kiểm tra để một bài kiểm tra đạt sẽ biến vấn đề xác thực thành chặn nghe lén âm thầm mà không người dùng nào phát hiện được.

Bốn lựa chọn mà người dùng không bao giờ nên tự quyết

Giao thức và loại đường hầm đến trước: chọn một tổ hợp được hỗ trợ cho mỗi nền tảng và ghi lại phía cổng, vì một tên thương hiệu quen thuộc không phải tuyên bố về khả năng tương thích. Tiếp theo là điểm cuối: một tên máy chủ phân giải công khai và khớp với chứng chỉ mà cổng trình bày. Xác thực thuộc về hệ thống danh tính, dù đó là chứng chỉ, tên người dùng có yếu tố thứ hai, hay cả hai. Không điều nào trong số này là sở thích của người dùng, và không điều nào nên xuất hiện như một câu hỏi trong hướng dẫn.

Lựa chọn thứ tư là phạm vi: đường hầm đầy đủ hay đường hầm chia tách, và những tiền tố cùng hậu tố DNS nào đi bên trong. Một đường hầm chia tách không có hậu tố nội bộ sẽ rò rỉ phân giải tên tới bất kỳ bộ phân giải nào mà mạng cục bộ cung cấp, và một đường hầm đầy đủ không có kế hoạch tài nguyên cục bộ sẽ làm hỏng máy in và cổng bắt giữ. Cả hai đều là quyết định của quản trị viên với tác động người dùng nhìn thấy, và chính vì thế người dùng nên nhận chúng đã được giải quyết sẵn.

Giữ tên kết nối nhàm chán và ổn định. Người dùng đọc to nó cho bộ phận hỗ trợ, tìm nó trong danh sách ứng dụng khách và nhớ nó giữa các lần đặt lại mật khẩu; đổi tên nó giữa một cuộc di chuyển tạo ra một đỉnh hỗ trợ không liên quan gì tới việc VPN có hoạt động hay không.

Giao danh tính theo từng người hoặc từng thiết bị

Hồ sơ là công khai còn khóa riêng thì không. Một lỗi triển khai phổ biến là xuất một hồ sơ đang hoạt động cùng chứng chỉ của nó rồi chuyền tay tệp, khiến mọi máy tính xách tay thành bản sao của một danh tính và biến việc thu hồi thành quyết định tất cả hoặc không gì cả. Thay vào đó hãy đăng ký thông tin xác thực qua quy trình được hỗ trợ: chứng chỉ cho từng thiết bị từ kênh quản lý, hoặc thông tin xác thực cho từng người dùng từ nhà cung cấp danh tính.

Đường hầm thiết bị và đường hầm người dùng xác thực ở những thời điểm khác nhau, và sự khác biệt đó quyết định bạn cần thông tin xác thực nào. Một đường hầm thiết bị kết nối trước khi đăng nhập cần chứng chỉ máy và hồ sơ khả dụng cho hệ thống. Một đường hầm người dùng bắt đầu sau khi đăng nhập có thể dùng thông tin xác thực của chính người dùng và không nên đòi hỏi quyền quản trị. Thêm truy cập mạng ở cấp máy chỉ để bỏ một cú nhấp khỏi buổi sáng của ai đó là một trao đổi tồi, vì nó mở rộng phạm vi một thiết bị không được giám sát có thể chạm tới.

Đăng ký cũng là nơi quyết định đường khôi phục. Việc gia hạn chứng chỉ hoặc đổi mật khẩu phải tới được thiết bị trong khi đường hầm đang xuống, nên việc cung cấp, nhà cung cấp danh tính và cổng phải thống nhất cách điều đó xảy ra; nếu cách duy nhất để sửa một hồ sơ là qua đường hầm mà hồ sơ đó cung cấp, thì chìa khóa bị khóa bên trong hộp.

Khớp kênh phân phối với ứng dụng khách

Ứng dụng khách gốc và của bên thứ ba được phân phối khác nhau. Hồ sơ Windows có thể được phân phối dưới dạng VPNv2 ProfileXML qua Intune hoặc Configuration Manager, nhưng không phải mọi nút đều được mở trên mọi bề mặt quản lý, và cài đặt định tuyến, DNS cùng kích hoạt khác nhau theo công cụ và theo phiên bản Windows. Hãy xác nhận trường nào có thể triển khai trước khi hứa một lần triển khai không cần chạm, vì tài liệu tham chiếu tùy chọn hồ sơ ghi lại những cài đặt mà một số đường phân phối vẫn chưa đặt được.

Ứng dụng khách của nhà cung cấp thêm một lớp thứ hai, vì tệp nhị phân, hồ sơ và chính sách đầu cuối là những thành phần riêng biệt. Ví dụ, Cisco Secure Client hỗ trợ triển khai trước cả gói lẫn hồ sơ của nó, và phiên bản ứng dụng khách phải được phối hợp với cấu hình cổng; chỉ cài gói sẽ để người dùng ở trong một trình hướng dẫn.

Dù chọn kênh nào, hãy giữ một nguồn sự thật duy nhất cho hồ sơ. Một hồ sơ đã sửa mà một gói cũ hơn ghi đè ở lần kiểm tra sau là một sự cố lặp lại, và cách khắc phục bền vững là cấu hình có phiên bản chứ không phải chỉnh tay trên từng máy.

Kiểm tra bàn giao như một người dùng mới, rồi kiểm tra khôi phục

Chạy thử với một tài khoản bình thường trên thiết bị chưa từng kết nối, không có phiên đã lưu của quản trị viên và không có chứng chỉ đăng ký trước. Xác nhận hồ sơ xuất hiện trong danh sách, lời nhắc đăng nhập khớp với hướng dẫn và một tài nguyên nội bộ có tên mở được, rồi kiểm tra phân giải tên và phạm vi định tuyến thay vì dừng ở biểu tượng đã kết nối.

Truy vấn kho hồ sơ của thiết bị để bài kiểm tra tạo ra bằng chứng chứ không phải cảm nhận.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod, SplitTunneling
Get-VpnConnection -Name "Corp VPN" | Format-List
Test-NetConnection intranet.example.com -Port 443

Sau đó đi qua những sự kiện người dùng thực sự gặp: đặt lại mật khẩu bắt buộc, chứng chỉ được gia hạn, bản cập nhật ứng dụng khách bị đẩy xuống và một mạng mà chưa ai trong nhóm thử nghiệm từng dùng. Mỗi sự kiện phải hoặc hoạt động, hoặc hỏng theo cách mà hướng dẫn mô tả. Hãy thử cả một mạng chặn cổng VPN, vì lần thử đầu ở Wi-Fi khách sạn là nơi thành công ở nhà thôi giúp ích. Ghi lại phiên bản ứng dụng khách và bản dựng hệ điều hành bên cạnh mỗi kết quả, vì báo cáo tiếp theo sẽ đến mà không có chúng.

Giữ bàn giao cho người dùng trong bốn dòng: tên kết nối, lần đăng nhập dự kiến, tài nguyên chứng minh thành công và nơi gửi văn bản lỗi. Không ai nên bị hỏi mật khẩu hay khóa đã xuất ra để chứng minh một sự cố. Kiến trúc, phần bên trong hồ sơ và thủ tục khôi phục thuộc về sổ tay vận hành của quản trị viên, được lưu bên cạnh phiên bản ứng dụng khách đã dùng để kiểm tra.