عملاء VPN المتقاعدون: حدّد بروتوكول البوابة أولًا

ما زالت مثبّتات عملاء VPN الذين انتهت صلاحيتهم منذ سنوات تعمل، وما زالت تطلب ملف تعريف، ثم تُكمل تسجيل دخول لا يمرّر أي حزمة. الجهاز حديث وبيانات الاعتماد صحيحة، ومع ذلك فإن البوابة هي نفس الجهاز الذي اشترته الشركة قبل عقد من الزمن. استبدال العميل هو الخطوة الصحيحة، لكن فقط بعد أن تعرف أي بروتوكول تنشره تلك البوابة. العملاء الأربعة المتقاعدون في هذا الجانب لا يتحدثون البروتوكول نفسه.

لماذا لا يخبرك اسم العلامة التجارية بالبروتوكول

يمكن لعائلة أجهزة واحدة أن تُنهي عدة بروتوكولات وصول عن بُعد، ولا يقول الاسم التسويقي على العلبة شيئًا عن أي منها يستخدمه حسابك. حملت معدات Cisco بروتوكول IPsec مع XAuth، إضافةً إلى SSL VPN عبر AnyConnect في الوقت نفسه؛ وتقدم أجهزة SonicWall عميل Global VPN Client عبر IPsec وNetExtender عبر SSL VPN؛ ويمكن لنشر Juniper أن يكشف Network Connect أو بروتوكول Pulse الأحدث. إن تثبيت أي عميل خلف يبدو الأكثر حداثة هو تخمين. التخمين الخاطئ إما يفشل في الاتصال أو يصادق على جلسة لا تحمل أي حركة.

تحميل صفحة بوابة في متصفح يثبت أن خدمة ويب تستجيب، لا أن عميلًا معينًا سيتفاوض معها. تعامل مع هذين كحقيقتين منفصلتين.

اسأل البوابة عن البروتوكول الذي تتحدثه

أرخص طريقة لتضييق الخيارات هي قراءة ما يعيده الطرف الآخر، ثم تسمية بروتوكول صراحةً عند تجربة عميل. لا تغيّر أي من الخطوتين شيئًا على الخادم.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

تُظهر رؤوس الاستجابة ومسار تسجيل الدخول ما إذا كانت بوابة SSL VPN موجودة على ذلك العنوان، ما يشير إلى AnyConnect أو NetExtender أو Pulse بدلًا من عميل IPsec. يضع openconnect اختيار البروتوكول على سطر الأوامر، لذا فإن الفشل يسمّي بروتوكولًا لا منتجًا؛ استبدله بـ --protocol=npulse عندما يكون النشر Juniper. توقف عند أول مطالبة تطلب بيانات اعتماد لم تُمنح لك، لأن النفق العامل ما زال يحتاج إلى حساب معتمد. سجّل البروتوكول والمسار في تذكرة التغيير للجهاز التالي.

وازن بين أربعة بدائل مرشحة

تغطي أربعة مسارات معظم الحالات تقريبًا، وهي ليست قابلة للتبادل. العميل الخلف من البائع هو المسار المدعوم عندما تملك المؤسسة البوابة وتكون مستعدة لترخيصها. OpenConnect هو العميل المفتوح العملي، لأنه يتحدث AnyConnect وNetwork Connect وPulse عندما تسمّي البروتوكول بدلًا من تركه يخمّن.

يتعامل strongSwan مع حالة IPsec مع XAuth للمؤسسات التي تسمح بعملاء طرف ثالث، ويتجنب شيفرة IPsec المهجورة من Cisco تمامًا. يستمر عميل Shrew Soft في قراءة ملفات تعريف Cisco ويعمل على بعض إصدارات Windows، لكن إصداره الأخير كان 2013. تعامل معه كحل مؤقت ريثما يُرتّب مسار مدعوم.

قرّر بين الإصلاح والاستبدال

بعض الأعطال محلية: مكتبة مفقودة، أو محوّل افتراضي قديم، أو مثبّت يحتاج خيار الإصلاح من البائع. هذه تستحق محاولة واحدة ما دام العميل مدعومًا، لأنها تكلّف دقائق. يتغير الحساب عندما يكون الملف الثنائي خارج الدعم ويكون العطل قد وصل مع ترقية نظام التشغيل، لأن قواعد توقيع برامج التشغيل وامتدادات النواة تغيّرت منذ كتابة هؤلاء العملاء. العميل الذي يتصل بينما يُظهر عدّاد النفق صفر جلسات قائمة يكون عادةً قد تجاوز الإصلاح، وليس بعيدًا عن إعادة تثبيت واحدة.

أبقِ العميل القديم مثبتًا فقط بالقدر الكافي لتصدير ملف تعريفه، ثم أزله. عميلا VPN يتنافسان على المسارات نفسها ينتجان أعراضًا لا تشبه أيًا منهما.

اكتب الترتيب في التذكرة: البروتوكول والعميل المعتمد من المالك، ثم خلف مدعوم إن ثبت، ثم عميل مفتوح واحد يُجرّب على جهاز واحد إن لم يثبت، ثم مسار وصول مدعوم إن لم ينجح أي منهما. يحفظ هذا التسلسل على الشخص التالي تنزيل ملف ثنائي متقاعد آخر.