Gateway Juniper o Pulse: quin protocol OpenConnect fer servir

Triar un protocol per a OpenConnect és un exercici d'emparellament, no una cerca de marca. Una passarel·la que a la pàgina d'inici diu Juniper pot exposar Network Connect, Pulse o tots dos, i el valor per defecte del client no és cap dels dos. Endevinar costa un inici de sessió fallit i, pitjor, un fil de suport que culpa les credencials d'una discrepància de protocol. Confirmeu el servei abans d'escriure un nom d'amfitrió en un perfil.

OpenConnect anomena el protocol més antic nc i el més nou pulse, i tots dos viuen al mateix binari. El paràmetre que trieu canvia l'intercanvi d'inici de sessió, no l'encaminament posterior a una connexió correcta.

Els dos noms de protocol comparteixen una història de producte

El Network Connect de Juniper i el client Pulse Secure posterior són protocols diferents que una família d'aparells ha exposat amb el temps. OpenConnect va desenvolupar un gestor nc per al primer i un gestor pulse per al segon. Són camins de codi separats amb formats de sol·licitud separats, així que el suport en un no diu res de l'altre.

La diferència es veu de seguida en la conversa d'inici de sessió: els punts finals, els camps del formulari i la manera com el client informa d'un segon factor rebutjat varien entre els dos gestors.

Triar a la línia d'ordres és un canvi d'una paraula: openconnect --protocol=nc vpn.example.com per a Network Connect, o openconnect --protocol=pulse vpn.example.com per a Pulse. Tots dos intents són intents de connexió reals que poden reconfigurar rutes i DNS, així que executeu-los deliberadament. No poseu mai una contrasenya a la línia d'ordres ni desactiveu les comprovacions de certificats per superar un error de protocol, perquè això amaga la discrepància en lloc d'arreglar-la. Si necessiteu veure què envia el client, --dump-http-traffic imprimeix l'intercanvi, que normalment identifica el gestor que espera la passarel·la.

Ajusteu el protocol al que exposa la passarel·la

L'aparell només respon al protocol per al qual està configurat. Un servei només Pulse rebutja un inici de sessió nc fins i tot amb credencials vàlides, i un servei antic Network Connect no té cap punt final pulse per respondre. Pregunteu a l'administrador quin està habilitat i quin client admeten. Un aparell reanomenat, una pàgina wiki desactualitzada i un portal web familiar són proves febles.

Un cop conegueu el protocol, confirmeu els requisits del voltant: autenticació per certificat o testimoni, una selecció de grup d'autenticació i qualsevol comprovació de compliment del punt final. Aquestes decideixen si un client de línia d'ordres pot acabar l'inici de sessió.

L'autenticació pot resoldre la qüestió abans que el protocol

Un desplegament pot exigir un certificat de client, un viatge SAML a través del navegador o un verificador d'amfitrió que inspecciona la màquina abans de concedir accés. El gestor pulse d'OpenConnect documenta límits de compatibilitat per a alguns d'aquests fluxos, i el gestor nc té les seves pròpies llacunes. Una contrasenya que funciona al navegador demostra que el compte és vàlid; no demostra que una CLI o un connector d'escriptori arbitrari pugui completar la mateixa seqüència. Quan hi ha un verificador d'amfitrió, el client necessita un script d'embolcall proporcionat per l'administrador. Sense això, l'inici de sessió s'atura després de la primera resposta i sembla una fallada de protocol quan en realitat és un pas de compliment que falta.

La selecció de grup d'autenticació és l'altre punt de travessa habitual, perquè una passarel·la amb diversos grups espera que el client n'anomeni un.

A la línia d'ordres, --authgroup="Employees" proporciona aquesta tria, i ometre-la pot deixar la sessió en un grup per defecte que rebutja el compte. Amb certificats, --certificate apunta al certificat i la clau del client, i la passarel·la encara pot exigir un testimoni després. Proveu la seqüència completa una vegada amb sortida detallada abans d'automatitzar res al seu voltant.

Quan la interfície d'escriptori no pot expressar la tria

Les interfícies gràfiques porten els seus propis conjunts de funcions, i un connector antic pot ser anterior al protocol que necessiteu. La integració d'OpenConnect de NetworkManager desa la tria a les seves dades de connexió, així que nmcli connection modify "Office VPN" vpn.data "protocol=pulse" pot definir el que l'editor no mostra. Comproveu que la versió instal·lada del connector admeti la clau abans de suposar que l'edició ha tingut efecte.

Si un menú només ofereix PPTP o L2TP, triar-ne un no converteix un servei Pulse en aquest protocol. Instal·leu la integració aprovada en lloc de canviar al que el menú llisti per casualitat.

Què cal registrar quan l'inici de sessió encara falla

Registreu quatre coses: el protocol que heu triat, les versions del client i del connector, el flux d'autenticació que s'esperava i el primer error que va tornar amb un codi d'estat en lloc d'un temps d'espera. Aquest conjunt separa un gestor equivocat d'un certificat absent, un grup d'autenticació rebutjat o una comprovació de compliment bloquejada. La sortida detallada val la pena conservar-la pel mateix motiu, perquè mostra la sol·licitud que va fallar i no només el símptoma.

Guardeu l'ordre o el perfil que funciona al costat del nom de la passarel·la quan ho aconsegueixi. Si no, la propera persona que es connecti repetirà la mateixa endevinalla de marca contra protocol.