Спісаныя кліенты VPN: спачатку вызначце пратакол шлюза

Усталёўнікі кліентаў VPN, якія спынілі падтрымку шмат гадоў таму, дагэтуль запускаюцца, дагэтуль просяць профіль, а потым завяршаюць уваход, які не прапускае ніводнага пакета. Машына сучасная, а ўліковыя даныя правільныя, аднак шлюз — тая самая прылада, якую кампанія купіла дзесяць гадоў таму. Замяніць кліент — правільны крок, але толькі пасля таго, як вы даведаецеся, які пратакол публікуе гэты шлюз. Чатыры спісаныя кліенты ў гэтым кутку не размаўляюць на адным і тым жа пратаколе.

Чаму назва брэнда не паведамляе пратакол

Адно сямейства прылад можа абслугоўваць некалькі пратаколаў аддаленага доступу, і маркетынгавая назва на скрынцы нічога не кажа пра тое, які з іх выкарыстоўвае ваш уліковы запіс. Абсталяванне Cisco адначасова трымала IPsec з XAuth і SSL VPN праз AnyConnect; прылады SonicWall прапануюць Global VPN Client праз IPsec і NetExtender праз SSL VPN; разгортванні Juniper могуць адкрываць Network Connect або больш новы пратакол Pulse. Усталяваць пераемнік, які выглядае самым сучасным, — гэта здагадка. Няправільная здагадка альбо не дазваляе падключыцца, альбо аўтэнтыфікуе ў сесію, якая не нясе трафіку.

Загрузка старонкі партала ў браўзеры даказвае, што вэб-сэрвіс адказвае, а не тое, што пэўны кліент будзе з ім дамаўляцца. Разглядайце гэта як два асобныя факты.

Спытайце ў шлюза, на чым ён размаўляе

Самы танны спосаб звузіць варыянты — прачытаць, што вяртае канцавы пункт, а потым назваць пратакол яўна, калі спрабуеце кліент. Ні адзін з гэтых крокаў нічога не змяняе на серверы.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Загалоўкі адказу і шлях уваходу паказваюць, ці ёсць на гэтым адрасе партал SSL VPN, што ўказвае на AnyConnect, NetExtender або Pulse, а не на кліент IPsec. openconnect ставіць выбар пратакола ў камандны радок, таму збой называе пратакол, а не прадукт; падстаўце --protocol=npulse, калі разгортванне — Juniper. Спыніцеся на першым запыце ўліковых даных, якія вам не выдавалі, бо працуючы тунэль усё яшчэ патрабуе ўзгодненага ўліковага запісу. Запішыце пратакол і шлях у заяўку на змены для наступнай машыны.

Узважце чатыры кандыдаты на замену

Чатыры шляхі пакрываюць амаль усе выпадкі, і яны не ўзаемазаменныя. Пераемнік ад пастаўшчыка — гэта падтрыманы шлях, калі арганізацыя валодае шлюзам і гатова яго ліцэнзаваць. OpenConnect — практычны адкрыты кліент, бо ён размаўляе AnyConnect, Network Connect і Pulse, калі вы называеце пратакол, а не даяце яму здагадвацца.

strongSwan апрацоўвае выпадак IPsec з XAuth для арганізацый, якія дазваляюць кліенты трэціх бакоў, і цалкам абыходзіць закінуты код Cisco IPsec. Кліент Shrew Soft працягвае чытаць профільныя файлы Cisco і працуе на некаторых зборках Windows, але яго апошні выпуск быў у 2013 годзе. Разглядайце яго як часовую меру, пакуль не будзе арганізаваны падтрыманы шлях.

Выберыце паміж рамонтам і заменай

Некаторыя збоі лакальныя: адсутная бібліятэка, састарэлы віртуальны адаптар або ўсталёўнік, якому патрэбен варыянт рамонту ад пастаўшчыка. Гэта варта адной спробы, пакуль кліент падтрымліваецца, бо каштуе хвілін. Разлік змяняецца, калі бінарнік выйшаў з падтрымкі і паломка прыйшла з абнаўленнем аперацыйнай сістэмы, бо правілы подпісу драйвераў і пашырэнняў ядра змяніліся з часоў напісання гэтых кліентаў. Кліент, які падключаецца, пакуль лічыльнік тунэля паказвае нуль усталяваных сесій, звычайна ўжо не падлягае рамонту, а не адной пераўсталёўцы.

Трымайце стары кліент усталяваным роўна столькі, колькі трэба для экспарту профілю, потым выдаліце яго. Два кліенты VPN, якія спаборнічаюць за адныя маршруты, даюць сімптомы, не падобныя ні на адзін з іх.

Запішыце парадак у заяўцы: пратакол і ўзгоднены кліент ад уладальніка, падтрыманы пераемнік, калі ён усталёўваецца, адзін адкрыты кліент, правераны на адной машыне, калі не ўсталёўваецца, і падтрыманы шлях доступу, калі не працуе ні адзін. Такі парадак не дае наступнаму чалавеку спампаваць чарговы спісаны бінарнік.