Шлюз Juniper или Pulse: кой протокол OpenConnect да използвате

Изборът на протокол за OpenConnect е упражнение по съпоставяне, а не търсене на марка. Шлюз, който на страницата за вход казва Juniper, може да предоставя Network Connect, Pulse или и двете, а подразбиращото се за клиента не е нито едно от тях. Догадката струва неуспешен вход и, по-лошо, нишка в поддръжката, която обвинява идентификационните данни за несъответствие на протокола. Потвърдете услугата, преди да въведете име на хост в профил.

OpenConnect нарича по-стария протокол nc, а по-новия — pulse, и двата живеят в един и същ изпълним файл. Флагът, който изберете, променя обмена при вход, а не маршрутизацията след успешно свързване.

Двете имена на протоколи делят една продуктова история

Network Connect на Juniper и по-късният клиент Pulse Secure са различни протоколи, които едно семейство устройства е предоставяло с времето. OpenConnect се сдоби с манипулатор nc за първия и манипулатор pulse за втория. Това са отделни кодови пътища с отделни формати на заявките, така че поддръжката в единия не казва нищо за другия.

Разликата се вижда веднага в разговора при вход: крайни точки, полета на формуляра и начинът, по който клиентът съобщава за отхвърлен втори фактор, се различават между двата манипулатора.

Изборът от командния ред е промяна с една дума: openconnect --protocol=nc vpn.example.com за Network Connect или openconnect --protocol=pulse vpn.example.com за Pulse. И двата опита са истински опити за свързване, които могат да пренастроят маршрути и DNS, затова ги изпълнявайте съзнателно. Никога не поставяйте парола в командния ред и не изключвайте проверките на сертификати, за да прескочите грешка в протокола, защото това скрива несъответствието вместо да го поправи. Ако трябва да видите какво изпраща клиентът, --dump-http-traffic отпечатва обмена, което обикновено разкрива манипулатора, който шлюзът очаква.

Съобразете протокола с това, което шлюзът предоставя

Устройството отговаря само на протокола, за който е конфигурирано. Услуга само с Pulse отхвърля вход nc дори с валидни идентификационни данни, а стара услуга Network Connect няма крайна точка pulse, на която да отговори. Попитайте администратора кой е включен и кой клиент поддържат. Преименувано устройство, остаряла wiki страница и познат уеб портал са все слаби доказателства.

След като знаете протокола, потвърдете околните изисквания: удостоверяване със сертификат или токен, избор на група за удостоверяване и всяка проверка за съответствие на крайната точка. Те решават дали клиент от командния ред може изобщо да завърши входа.

Удостоверяването може да реши въпроса преди протокола

Внедряване може да изисква клиентски сертификат, обиколка на SAML през браузър или проверяващ хост, който инспектира машината преди да даде достъп. Манипулаторът pulse на OpenConnect документира ограничения за съвместимост при някои от тези потоци, а манипулаторът nc има собствени пропуски. Парола, която работи в браузъра, доказва, че акаунтът е валиден; тя не доказва, че произволен CLI или настолен плъгин може да завърши същата последователност. Когато участва проверяващ хост, клиентът се нуждае от обвиващ скрипт, предоставен от администратора. Без него входът засяда след първия отговор и изглежда като повреда на протокола, когато всъщност е липсваща стъпка за съответствие.

Изборът на група за удостоверяване е другата честа пречка, защото шлюз с няколко групи очаква клиентът да назове една.

В командния ред --authgroup="Employees" предоставя този избор и пропускането му може да постави сесията в подразбираща се група, която отхвърля акаунта. Със сертификати --certificate сочи към клиентския сертификат и ключ и шлюзът може след това да изисква токен. Тествайте цялата последователност веднъж с подробен изход, преди да автоматизирате нещо около нея.

Когато настолният интерфейс не може да изрази избора

Графичните интерфейси носят собствени набори от функции и по-стар плъгин може да предхожда протокола, който ви трябва. Интеграцията на OpenConnect в NetworkManager съхранява избора в данните за връзката, така че nmcli connection modify "Office VPN" vpn.data "protocol=pulse" може да зададе това, което редакторът не показва. Проверете дали инсталираната версия на плъгина поддържа ключа, преди да приемете, че редакцията е в сила.

Ако меню предлага само PPTP или L2TP, изборът на едно от тях не превръща услуга Pulse в този протокол. Инсталирайте одобрената интеграция, вместо да преминавате към каквото менюто случайно изброява.

Какво да записвате, когато входът продължава да се проваля

Запишете четири неща: протокола, който сте избрали, версиите на клиента и плъгина, очаквания поток за удостоверяване и първата грешка, върнала се с код на състоянието, а не с изчакване. Този набор отделя грешен манипулатор от липсващ сертификат, отхвърлена група за удостоверяване или блокирана проверка за съответствие. Подробният изход си струва да се пази по същата причина, защото показва заявката, която се е провалила, а не само симптома.

Пазете работещата команда или профил до името на шлюза, щом успее. Иначе следващият човек, който се свързва, ще повтори същата догадка за марка срещу протокол.