Излезли от употреба VPN клиенти: първо определете протокола на шлюза

Инсталаторите на VPN клиенти, чиято поддръжка е приключила преди години, все още работят, все още искат профил и след това завършват вход, който не пропуска нито един пакет. Машината е актуална и данните за достъп са правилни, но шлюзът е същото устройство, което компанията е купила преди десетилетие. Смяната на клиента е правилната стъпка, но само след като знаете кой протокол публикува този шлюз. Четирите излезли от употреба клиента в този ъгъл не говорят един и същ протокол.

Защо името на марката не казва протокола

Едно семейство устройства може да обслужва няколко протокола за отдалечен достъп и маркетинговото име на кутията не казва нищо за това кой от тях използва вашият акаунт. Оборудването на Cisco е поддържало едновременно IPsec с XAuth и SSL VPN през AnyConnect; устройствата SonicWall предлагат Global VPN Client през IPsec и NetExtender през SSL VPN; внедряванията на Juniper могат да предоставят Network Connect или по-новия протокол Pulse. Инсталирането на наследника, който изглежда най-модерен, е догадка. Грешната догадка или не успява да се свърже, или удостоверява сесия, която не пренася трафик.

Зареждането на портална страница в браузър доказва, че уеб услуга отговаря, а не че конкретен клиент ще преговаря с нея. Третирайте тези две неща като отделни факти.

Попитайте шлюза на какво говори

Най-евтиният начин да стесните опциите е да прочетете какво връща крайната точка, а след това да назовете протокол изрично, когато пробвате клиент. Нито една от двете стъпки не променя нищо на сървъра.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Заглавките на отговора и пътят за вход показват дали на този адрес има портал за SSL VPN, което сочи към AnyConnect, NetExtender или Pulse, а не към IPsec клиент. openconnect поставя избора на протокол на командния ред, така че неуспехът назовава протокол, а не продукт; заменете с --protocol=npulse, когато внедряването е Juniper. Спрете при първата подкана за данни за достъп, които не са ви издадени, защото работещият тунел все още се нуждае от одобрен акаунт. Запишете протокола и пътя в заявката за промяна за следващата машина.

Претеглете четири кандидата за замяна

Четири пътя покриват почти всеки случай и те не са взаимозаменяеми. Наследник от доставчика е поддържаният път, когато организацията притежава шлюза и ще го лицензира. OpenConnect е практичният отворен клиент, защото говори AnyConnect, Network Connect и Pulse, когато назовете протокола, вместо да го оставите да гадае.

strongSwan се справя със случая IPsec с XAuth за организации, които разрешават клиенти на трети страни, и напълно заобикаля изоставения код на Cisco IPsec. Клиентът Shrew Soft продължава да чете профилни файлове на Cisco и работи на някои издания на Windows, но последното му издание беше през 2013 г. Третирайте го като временно решение, докато се уреди поддържан път.

Решете между ремонт и замяна

Някои повреди са локални: липсваща библиотека, остарял виртуален адаптер или инсталатор, който се нуждае от опцията за ремонт на доставчика. Те заслужават един опит, докато клиентът все още се поддържа, защото струват минути. Изчислението се променя, когато двоичният файл е извън поддръжка и повредата е дошла с надграждане на операционната система, тъй като правилата за подписване на драйвери и разширения на ядрото са се променили, откакто тези клиенти са написани. Клиент, който се свързва, докато броячът на тунела показва нула установени сесии, обикновено е отвъд ремонт, а не на една преинсталация разстояние.

Дръжте стария клиент инсталиран само колкото да експортирате профила му, след което го премахнете. Два VPN клиента, състезаващи се за едни и същи маршрути, дават симптоми, които не приличат на нито един от двата.

Напишете реда в заявката: протокол и одобрен клиент от собственика, поддържан наследник, ако се инсталира, един отворен клиент, тестван на една машина, ако не се инсталира, и поддържан път за достъп, ако нито едно не работи. Тази последователност пази следващия човек да не изтегли още един излязъл от употреба двоичен файл.