Juniper- of Pulse-gateway: watter OpenConnect-protokol om te gebruik

Om 'n protokol vir OpenConnect te kies is 'n pas-oefening, nie 'n handelsnaam-soektog nie. 'n Gateway wat Juniper op die aanmeldbladsy sê, kan Network Connect, Pulse of albei blootstel, en die kliënt se verstek is nie een van hulle nie. Om te raai kos 'n mislukte aanmelding en, erger, 'n ondersteuningsdraad wat die geloofsbriewe blameer vir 'n protokolwanpassing. Bevestig die diens voordat jy 'n gasheernaam in 'n profiel tik.

OpenConnect noem die ouer protokol nc en die nuwer een pulse, en albei woon in dieselfde binêre lêer. Die vlag wat jy kies verander die aanmeldingsgesprek, nie die roetering wat na 'n suksesvolle verbinding volg nie.

Die twee protokolname deel 'n produkgeskiedenis

Juniper se Network Connect en die later Pulse Secure-kliënt is verskillende protokolle wat een toestelfamilie oor tyd blootgestel het. OpenConnect het 'n nc-hanteerder vir die eerste en 'n pulse-hanteerder vir die tweede ontwikkel. Hulle is aparte koodpaaie met aparte versoekformate, so ondersteuning in een sê niks oor die ander nie.

Die verskil wys dadelik in die aanmeldingsgesprek: eindpunte, vormvelde en die manier waarop die kliënt 'n verwerpte tweede faktor rapporteer, verskil tussen die twee hanteerders.

Om op die opdragreël te kies is 'n eenwoord-verandering: openconnect --protocol=nc vpn.example.com vir Network Connect, of openconnect --protocol=pulse vpn.example.com vir Pulse. Albei pogings is regte verbindingspogings wat roetes en DNS kan herkonfigureer, so voer hulle doelbewus uit. Moet nooit 'n wagwoord op die opdragreël plaas of sertifikaatkontroles afskakel om 'n protokolfout verby te kom nie, want dit verberg die wanpassing eerder as om dit reg te maak. As jy wil sien wat die kliënt stuur, druk --dump-http-traffic die gesprek, wat gewoonlik die hanteerder identifiseer wat die gateway verwag.

Pas die protokol by wat die gateway blootstel

Die toestel antwoord net die protokol waarvoor dit opgestel is. 'n Pulse-only diens verwerp 'n nc-aanmelding selfs met geldige geloofsbriewe, en 'n ou Network Connect-diens het geen pulse-eindpunt om te antwoord nie. Vra die administrateur watter een geaktiveer is, en vra watter kliënt hulle ondersteun. 'n Hernoemde toestel, 'n verouderde wiki-bladsy en 'n bekende webportaal is almal swak bewyse.

Sodra jy die protokol ken, bevestig die omliggende vereistes: sertifikaat- of tekenverifikasie, 'n keuse van 'n auth-groep en enige eindpunt-nakomingskontrole. Dit bepaal of 'n opdragreël-kliënt die aanmelding hoegenaamd kan voltooi.

Verifikasie kan die vraag voor die protokol besleg

'n Ontplooiing kan 'n kliëntsertifikaat, 'n SAML-retourreis deur 'n blaaier of 'n gasheerkontroleur vereis wat die masjien inspekteer voordat toegang verleen word. OpenConnect se pulse-hanteerder dokumenteer versoenbaarheidsperke vir sommige van hierdie vloei, en die nc-hanteerder het sy eie gapings. 'n Wagwoord wat in die blaaier werk, bewys die rekening is geldig; dit bewys nie dat 'n willekeurige CLI of lessenaar-inprop dieselfde reeks kan voltooi nie. Wanneer 'n gasheerkontroleur in die spel is, het die kliënt 'n wikkelskrip nodig wat deur die administrateur verskaf word. Sonder dit staak die aanmelding na die eerste antwoord en lyk soos 'n protokolfout wanneer dit eintlik 'n ontbrekende nakomingsstap is.

Auth-groepkeuse is die ander algemene struikelblok, want 'n gateway met verskeie groepe verwag dat die kliënt een moet noem.

Op die opdragreël verskaf --authgroup="Employees" daardie keuse, en om dit weg te laat kan die sessie in 'n verstekgroep laat beland wat die rekening verwerp. Met sertifikate wys --certificate na die kliëntsertifikaat en -sleutel, en die gateway kan daarna steeds 'n teken vereis. Toets die volle reeks een keer met breedvoerige uitvoer voordat jy enigiets daarom outomatiseer.

Wanneer die lessenaar-frontend die keuse nie kan uitdruk nie

Grafiese frontends dra hul eie kenmerke, en 'n ouer inprop kan die protokol wat jy nodig het, voorafdateer. NetworkManager se OpenConnect-integrasie stoor die keuse in sy verbindingsdata, so nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan stel wat die redigeerder nie wys nie. Kontroleer dat die geïnstalleerde inpropweergawe die sleutel ondersteun voordat jy aanneem die wysiging het in werking getree.

As 'n kieslys net PPTP of L2TP bied, maak die keuse van een nie 'n Pulse-diens in daardie protokol om nie. Installeer die goedgekeurde integrasie in plaas daarvan om oor te skakel na wat die kieslys toevallig lys.

Wat om op te teken wanneer die aanmelding steeds misluk

Teken vier dinge op: die protokol wat jy gekies het, die kliënt- en inpropweergawes, die verifikasievloei wat verwag is, en die eerste fout wat met 'n statuskode eerder as 'n tydsverloop teruggekom het. Daardie stel skei 'n verkeerde hanteerder van 'n ontbrekende sertifikaat, 'n verwerpte auth-groep of 'n geblokkeerde nakomingskontrole. Breedvoerige uitvoer is om dieselfde rede die moeite werd om te hou, want dit wys die versoek wat misluk het in plaas van net die simptoom.

Hou die werkende opdrag of profiel langs die gateway-naam sodra dit slaag. Die volgende persoon wat koppel, sal andersins dieselfde handelsnaam-versus-protokol-raaiskiet herhaal.