Clients VPN retirats: identifiqueu primer el protocol de la passarel·la

Els instal·ladors de clients VPN que van arribar al final de la seva vida fa anys encara s’executen, encara demanen un perfil i després completen un inici de sessió que no fa passar cap paquet. L’equip és actual i les credencials són correctes, però la passarel·la és el mateix aparell que l’empresa va comprar fa una dècada. Substituir el client és el moviment correcte, però només quan sabeu quin protocol publica aquesta passarel·la. Els quatre clients retirats d’aquest racó no parlen el mateix.

Per què el nom de la marca no diu el protocol

Una família d’aparells pot acabar diversos protocols d’accés remot, i el nom comercial de la caixa no diu res sobre quin fa servir el vostre compte. L’equipament Cisco ha portat alhora IPsec amb XAuth i SSL VPN mitjançant AnyConnect; les caixes SonicWall ofereixen Global VPN Client sobre IPsec i NetExtender sobre SSL VPN; els desplegaments Juniper poden exposar Network Connect o el protocol Pulse més recent. Instal·lar el successor que sembla més modern és endevinar. L’endevinalla incorrecta o bé no connecta o bé autentica una sessió que no transporta cap trànsit.

Que una pàgina de portal es carregui al navegador demostra que un servei web respon, no que un client concret hi negociarà. Tracteu-ho com dos fets separats.

Pregunteu a la passarel·la què parla

La manera més barata d’estrenyer les opcions és llegir què retorna el punt final i després anomenar un protocol explícitament quan proveu un client. Cap de les dues passes no canvia res al servidor.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Les capçaleres de resposta i el camí d’inici de sessió mostren si hi ha un portal SSL VPN en aquella adreça, cosa que apunta a AnyConnect, NetExtender o Pulse més que no a un client IPsec. openconnect posa l’elecció de protocol a la línia d’ordres, de manera que un error anomena un protocol i no un producte; canvieu-lo per --protocol=npulse quan el desplegament és Juniper. Atureu-vos al primer avís que demani credencials que no us van lliurar, perquè un túnel funcional encara necessita un compte aprovat. Anoteu el protocol i el camí al tiquet de canvi per a la propera màquina.

Peseu quatre candidats de substitució

Quatre rutes cobreixen gairebé tots els casos, i no són intercanviables. Un successor del fabricant és la via amb suport quan l’organització és propietària de la passarel·la i la llicenciarà. OpenConnect és el client obert pràctic, perquè parla AnyConnect, Network Connect i Pulse quan anomeneu el protocol en lloc de deixar-lo endevinar.

strongSwan gestiona el cas IPsec amb XAuth per a organitzacions que permeten clients de tercers, i evita del tot el codi IPsec abandonat de Cisco. El client Shrew Soft continua llegint fitxers de perfil de Cisco i funciona en algunes versions de Windows, però la seva última publicació va ser el 2013. Tracteu-lo com una solució provisional mentre s’organitza una via amb suport.

Decidiu entre reparar i substituir

Algunes fallades són locals: una biblioteca que falta, un adaptador virtual obsolet o un instal·lador que necessita l’opció de reparació del fabricant. Valen un intent mentre el client encara té suport, perquè costen minuts. El càlcul canvia quan el binari és fora de suport i l’avaria va arribar amb una actualització del sistema operatiu, ja que les regles de signatura de controladors i d’extensions del nucli han canviat des que es van escriure aquests clients. Un client que connecta mentre el comptador del túnel mostra zero sessions establertes normalment ja és fora de reparació, no a una reinstal·lació de distància.

Mantingueu el client antic instal·lat només el temps suficient per exportar-ne el perfil i després traieu-lo. Dos clients VPN que competeixen per les mateixes rutes produeixen símptomes que no s’assemblen a cap dels dos.

Escriviu l’ordre al tiquet: protocol i client aprovat pel propietari, un successor amb suport si s’instal·la, un client obert provat en una sola màquina si no, i una via d’accés amb suport si cap dels dos funciona. Aquesta seqüència evita que la propera persona baixi un altre binari retirat.