Шлюз Juniper ці Pulse: які пратакол OpenConnect выкарыстоўваць

Выбар пратакола для OpenConnect — гэта практыкаванне ў супастаўленні, а не пошук брэнда. Шлюз, які на старонцы ўваходу называе Juniper, можа прапаноўваць Network Connect, Pulse або абодва, а прадвызначэнне кліента — ні адзін з іх. Здагадка каштуе няўдалага ўваходу і, горш таго, галінкі падтрымкі, якая вінаваціць уліковыя даныя ў неадпаведнасці пратакола. Пацвердзіце паслугу, перш чым уводзіць імя хоста ў профіль.

OpenConnect называе старэйшы пратакол nc, а навейшы — pulse, і абодва жывуць у адным выканальным файле. Выбраны сцяг змяняе абмен пры ўваходзе, а не маршрутызацыю пасля паспяховага падключэння.

Дзве назвы пратаколаў дзеляць адну гісторыю прадукту

Network Connect ад Juniper і пазнейшы кліент Pulse Secure — розныя пратаколы, якія сямейства прылад прапаноўвала з цягам часу. OpenConnect набыў апрацоўшчык nc для першага і апрацоўшчык pulse для другога. Гэта асобныя шляхі коду з асобнымі фарматамі запытаў, таму падтрымка аднаго нічога не кажа пра другі.

Розніца адразу бачная ў размове пры ўваходзе: канчатковыя пункты, палі формы і спосаб, якім кліент паведамляе пра адхілены другі фактар, адрозніваюцца паміж двума апрацоўшчыкамі.

Выбар у камандным радку — змена ў адно слова: openconnect --protocol=nc vpn.example.com для Network Connect або openconnect --protocol=pulse vpn.example.com для Pulse. Абедзве спробы — сапраўдныя спробы падключэння, якія могуць перанастроіць маршруты і DNS, таму запускайце іх свядома. Ніколі не змяшчайце пароль у камандны радок і не адключайце праверкі сертыфікатаў, каб абыйсці памылку пратакола, бо гэта хавае неадпаведнасць замест таго, каб выправіць яе. Калі трэба ўбачыць, што адпраўляе кліент, --dump-http-traffic друкуе абмен, які звычайна вызначае апрацоўшчык, якога чакае шлюз.

Супастаўце пратакол з тым, што прапануе шлюз

Прылада адказвае толькі на той пратакол, для якога яна наладжана. Паслуга толькі з Pulse адхіляе ўваход nc нават з сапраўднымі ўліковымі данымі, а старая паслуга Network Connect не мае канчатковага пункту pulse для адказу. Спытайце ў адміністратара, які ўключаны, і які кліент яны падтрымліваюць. Пераназваная прылада, састарэлая старонка wiki і знаёмы вэб-партал — усё гэта слабыя доказы.

Калі пратакол вядомы, пацвердзіце навакольныя патрабаванні: аўтэнтыфікацыю па сертыфікаце або токене, выбар групы аўтэнтыфікацыі і любую праверку адпаведнасці канчатковага пункта. Яны вырашаюць, ці зможа кліент каманднага радка ўвогуле завяршыць уваход.

Аўтэнтыфікацыя можа вырашыць пытанне раней за пратакол

Разгортванне можа патрабаваць сертыфіката кліента, круга SAML праз браўзер або правяральніка хоста, які аглядае машыну перад даваннем доступу. Апрацоўшчык pulse у OpenConnect дакументуе абмежаванні сумяшчальнасці для некаторых такіх патокаў, а ў апрацоўшчыка nc ёсць уласныя прабелы. Пароль, што працуе ў браўзеры, даказвае, што ўліковы запіс сапраўдны; ён не даказвае, што адвольны CLI або настольны плагін зможа прайсці тую ж паслядоўнасць. Калі задзейнічаны правяральнік хоста, кліенту патрэбны скрыпт-абгортка ад адміністратара. Без яго ўваход спыняецца пасля першага адказу і выглядае як збой пратакола, хоць насамрэч гэта адсутны крок адпаведнасці.

Выбар групы аўтэнтыфікацыі — іншы часты камень спатыкнення, бо шлюз з некалькімі групамі чакае, што кліент назаве адну.

У камандным радку --authgroup="Employees" падае гэты выбар, а яго пропуск можа пасадзіць сеанс у прадвызначаную групу, якая адхіляе ўліковы запіс. З сертыфікатамі --certificate паказвае на сертыфікат і ключ кліента, і шлюз можа пасля ўсё яшчэ патрабаваць токен. Праверце ўсю паслядоўнасць адзін раз з падрабязным вывадам, перш чым аўтаматызаваць што-небудзь вакол яе.

Калі настольны інтэрфейс не можа выразіць выбар

Графічныя інтэрфейсы маюць уласныя наборы функцый, і стары плагін можа быць старэйшы за патрэбны вам пратакол. Інтэграцыя OpenConnect у NetworkManager захоўвае выбар у сваіх даных злучэння, таму nmcli connection modify "Office VPN" vpn.data "protocol=pulse" можа задаць тое, чаго не паказвае рэдактар. Праверце, што ўсталяваная версія плагіна падтрымлівае гэты ключ, перш чым меркаваць, што змена ўступіла ў сілу.

Калі меню прапануе толькі PPTP або L2TP, выбар аднаго не ператварае паслугу Pulse у гэты пратакол. Усталюйце адабраную інтэграцыю замест пераходу на тое, што выпадкова пералічвае меню.

Што запісваць, калі ўваход усё яшчэ не ўдаецца

Запішыце чатыры рэчы: выбраны пратакол, версіі кліента і плагіна, чаканы паток аўтэнтыфікацыі і першую памылку, якая вярнулася з кодам стану, а не з тайм-аўтам. Гэты набор аддзяляе няправільны апрацоўшчык ад адсутнага сертыфіката, адхіленай групы аўтэнтыфікацыі або заблакаванай праверкі адпаведнасці. Падрабязны вывад варта захоўваць з той жа прычыны, бо ён паказвае запыт, які праваліўся, а не толькі сімптом.

Трымайце працоўную каманду або профіль побач з назвай шлюза, як толькі ўсё атрымаецца. Інакш наступны чалавек, які падключаецца, паўторыць тую ж здагадку брэнда супраць пратакола.