بوابة Juniper أم Pulse: أي بروتوكول OpenConnect تستخدم

اختيار بروتوكول لـ OpenConnect هو تمرين مطابقة، لا بحث عن علامة تجارية. قد تعرض بوابة تقول Juniper على صفحة تسجيل الدخول بروتوكول Network Connect أو Pulse أو كليهما، والافتراضي في العميل ليس أيًا منهما. التخمين يكلفك محاولة تسجيل دخول فاشلة، والأسوأ من ذلك سلسلة دعم تلوم بيانات الاعتماد على عدم تطابق البروتوكول. تأكد من الخدمة قبل أن تكتب اسم مضيف في ملف تعريف.

يسمي OpenConnect البروتوكول الأقدم nc والأحدث pulse، وكلاهما يعيش في الملف التنفيذي نفسه. العلم الذي تختاره يغير جلسة تسجيل الدخول، لا التوجيه الذي يلي اتصالًا ناجحًا.

البروتوكولان يتشاركان تاريخ منتج واحد

بروتوكول Network Connect من Juniper وعميل Pulse Secure اللاحق بروتوكولان مختلفان عرضتهما عائلة أجهزة واحدة على مر الزمن. طوّر OpenConnect معالج nc للأول ومعالج pulse للثاني. إنهما مسارا شيفرة منفصلان بتنسيقات طلب منفصلة، لذا لا يخبرك الدعم في أحدهما شيئًا عن الآخر.

يظهر الفرق فورًا في محادثة تسجيل الدخول: نقاط النهاية وحقول النموذج وطريقة إبلاغ العميل عن عامل ثانٍ مرفوض تختلف جميعها بين المعالجين.

الاختيار على سطر الأوامر تغيير بكلمة واحدة: openconnect --protocol=nc vpn.example.com لـ Network Connect، أو openconnect --protocol=pulse vpn.example.com لـ Pulse. المحاولتان محاولتا اتصال حقيقيتان يمكنهما إعادة تكوين المسارات وDNS، لذا نفذهما عن قصد. لا تضع كلمة مرور على سطر الأوامر ولا تعطل فحوص الشهادات لتجاوز خطأ بروتوكول، لأن ذلك يخفي عدم التطابق بدلًا من إصلاحه. إذا احتجت إلى رؤية ما يرسله العميل، يطبع --dump-http-traffic التبادل، وهو ما يحدد عادة المعالج الذي تتوقعه البوابة.

طابق البروتوكول مع ما تكشفه البوابة

لا يستجيب الجهاز إلا للبروتوكول المهيأ لخدمته. ترفض خدمة Pulse فقط تسجيل دخول nc حتى ببيانات اعتماد صالحة، ولا تملك خدمة Network Connect قديمة نقطة نهاية pulse لتجيب عليها. اسأل المسؤول أي البروتوكولين مفعّل، واسأله أي عميل يدعمون. الجهاز المعاد تسميته وصفحة الويكي القديمة وبوابة الويب المألوفة كلها أدلة ضعيفة.

بعد أن تعرف البروتوكول، أكد المتطلبات المحيطة: مصادقة الشهادة أو الرمز، واختيار مجموعة مصادقة، وأي فحص امتثال لنقطة النهاية. هذه تحدد ما إذا كان عميل سطر الأوامر يستطيع إكمال تسجيل الدخول أصلًا.

قد تحسم المصادقة السؤال قبل البروتوكول

قد يطلب النشر شهادة عميل، أو رحلة SAML عبر متصفح، أو مدقق مضيف يفحص الجهاز قبل منح الوصول. يوثق معالج pulse في OpenConnect حدود التوافق لبعض هذه التدفقات، ولدى معالج nc ثغراته الخاصة. كلمة المرور التي تعمل في المتصفح تثبت أن الحساب صالح؛ لكنها لا تثبت أن أي واجهة سطر أوامر أو إضافة سطح مكتب تستطيع إكمال التسلسل نفسه. عندما يكون مدقق المضيف حاضرًا، يحتاج العميل إلى نص برمجي غلاف يقدمه المسؤول. بدونه يتوقف تسجيل الدخول بعد الاستجابة الأولى ويبدو كفشل بروتوكول بينما هو في الحقيقة خطوة امتثال ناقصة.

اختيار مجموعة المصادقة هو نقطة التعثر الشائعة الأخرى، لأن البوابة التي تضم عدة مجموعات تتوقع أن يسمي العميل واحدة.

على سطر الأوامر، يقدم --authgroup="Employees" ذلك الاختيار، وتركه قد يجعل الجلسة تهبط في مجموعة افتراضية ترفض الحساب. مع الشهادات، يشير --certificate إلى شهادة العميل ومفتاحه، وقد تظل البوابة تطلب رمزًا بعد ذلك. اختبر التسلسل الكامل مرة واحدة بمخرجات مطولة قبل أن تؤتمت أي شيء حوله.

حين لا تستطيع واجهة سطح المكتب التعبير عن الاختيار

تحمل الواجهات الرسومية مجموعات ميزاتها الخاصة، وقد تسبق إضافة قديمة البروتوكول الذي تحتاجه. يخزن تكامل OpenConnect في NetworkManager الاختيار في بيانات الاتصال، لذا يستطيع nmcli connection modify "Office VPN" vpn.data "protocol=pulse" ضبط ما لا يعرضه المحرر. تحقق من أن إصدار الإضافة المثبت يدعم المفتاح قبل أن تفترض أن التعديل سري المفعول.

إذا قدمت قائمة فقط PPTP أو L2TP، فإن اختيار أحدهما لا يحول خدمة Pulse إلى ذلك البروتوكول. ثبّت التكامل المعتمد بدلًا من التحول إلى ما تصادف أن تسرده القائمة.

ما الذي تسجله عندما يستمر تسجيل الدخول في الفشل

سجّل أربعة أشياء: البروتوكول الذي اخترته، وإصدارات العميل والإضافة، وتدفق المصادقة المتوقع، وأول خطأ عاد برمز حالة لا بمهلة انتظار. هذه المجموعة تفصل المعالج الخاطئ عن شهادة ناقصة أو مجموعة مصادقة مرفوضة أو فحص امتثال محظور. تستحق المخرجات المطولة الاحتفاظ للسبب نفسه، لأنها تعرض الطلب الذي فشل بدلًا من العَرَض فقط.

احتفظ بالأمر أو الملف التعريفي العامل بجوار اسم البوابة بعد نجاحه. وإلا سيكرر الشخص التالي الذي يتصل التخمين نفسه بين العلامة التجارية والبروتوكول.