Brána Juniper nebo Pulse: který protokol OpenConnect použít

Vybrat protokol pro OpenConnect je cvičení v párování, ne hledání značky. Brána, která na přihlašovací stránce uvádí Juniper, může nabízet Network Connect, Pulse nebo obojí, a výchozí hodnota klienta není ani jedno z toho. Hádání stojí neúspěšné přihlášení a ještě hůř vlákno podpory, které obviňuje přihlašovací údaje z neshody protokolu. Než do profilu napíšete název hostitele, ověřte službu.

OpenConnect nazývá starší protokol nc a novější pulse a oba žijí ve stejném binárním souboru. Přepínač, který zvolíte, mění přihlašovací výměnu, ne směrování po úspěšném připojení.

Dva názvy protokolů sdílejí historii jednoho produktu

Juniper Network Connect a pozdější klient Pulse Secure jsou různé protokoly, které jedna rodina zařízení postupem času nabízela. OpenConnect získal obsluhu nc pro první a obsluhu pulse pro druhý. Jsou to oddělené cesty kódu s oddělenými formáty požadavků, takže podpora v jednom nic neříká o druhém.

Rozdíl je okamžitě vidět v přihlašovací konverzaci: koncové body, pole formuláře a způsob, jakým klient hlásí odmítnutý druhý faktor, se mezi oběma obsluhami liší.

Volba na příkazovém řádku je změna o jedno slovo: openconnect --protocol=nc vpn.example.com pro Network Connect nebo openconnect --protocol=pulse vpn.example.com pro Pulse. Oba pokusy jsou skutečné pokusy o připojení, které mohou překonfigurovat trasy a DNS, proto je spouštějte vědomě. Nikdy nedávejte heslo na příkazový řádek ani nevypínejte kontroly certifikátů, abyste obešli chybu protokolu, protože to neshodu skrývá, místo aby ji opravilo. Pokud potřebujete vidět, co klient posílá, --dump-http-traffic vypíše výměnu, což obvykle určí obsluhu, kterou brána očekává.

Sladte protokol s tím, co brána nabízí

Zařízení odpovídá jen na protokol, pro který je nakonfigurováno. Služba pouze s Pulse odmítne přihlášení nc i s platnými údaji a stará služba Network Connect nemá koncový bod pulse, na který by odpověděla. Zeptejte se správce, který je zapnutý, a který klienta podporují. Přejmenované zařízení, zastaralá wiki stránka a známý webový portál jsou všechny slabé důkazy.

Když protokol znáte, potvrďte okolní požadavky: ověření certifikátem nebo tokenem, výběr skupiny pro ověření a jakoukoli kontrolu shody koncového bodu. Ty rozhodují, zda klient z příkazového řádku může přihlášení vůbec dokončit.

Ověření může otázku vyřešit dřív než protokol

Nasazení může vyžadovat klientský certifikát, cestu SAML přes prohlížeč nebo kontrolu hostitele, která prohlédne stroj před udělením přístupu. Obsluha pulse v OpenConnect dokumentuje limity kompatibility pro některé z těchto toků a obsluha nc má vlastní mezery. Heslo, které funguje v prohlížeči, dokazuje, že účet je platný; nedokazuje, že libovolné CLI nebo desktopový plugin dokáže dokončit stejnou posloupnost. Když je ve hře kontrola hostitele, klient potřebuje obalový skript od správce. Bez něj se přihlášení po první odpovědi zasekne a vypadá jako selhání protokolu, i když jde ve skutečnosti o chybějící krok shody.

Výběr skupiny pro ověření je další častý kámen úrazu, protože brána s několika skupinami očekává, že klient jednu pojmenuje.

Na příkazovém řádku --authgroup="Employees" poskytuje tento výběr a jeho vynechání může relaci přistát ve výchozí skupině, která účet odmítne. S certifikáty --certificate ukazuje na klientský certifikát a klíč a brána může potom ještě vyžadovat token. Otestujte celou posloupnost jednou s podrobným výstupem, než kolem ní cokoli zautomatizujete.

Když desktopové rozhraní volbu neumí vyjádřit

Grafická rozhraní mají vlastní sady funkcí a starší plugin může předcházet protokolu, který potřebujete. Integrace OpenConnect v NetworkManageru ukládá volbu do svých dat připojení, takže nmcli connection modify "Office VPN" vpn.data "protocol=pulse" může nastavit to, co editor nezobrazuje. Ověřte, že nainstalovaná verze pluginu tento klíč podporuje, než budete předpokládat, že úprava zabrala.

Pokud nabídka nabízí jen PPTP nebo L2TP, výběr jednoho nepřemění službu Pulse v tento protokol. Nainstalujte schválenou integraci místo přechodu na to, co nabídka náhodou uvádí.

Co zaznamenat, když přihlášení stále selhává

Zaznamenejte čtyři věci: zvolený protokol, verze klienta a pluginu, očekávaný tok ověření a první chybu, která se vrátila se stavovým kódem, nikoli s časovým limitem. Tato sada odděluje špatnou obsluhu od chybějícího certifikátu, odmítnuté skupiny pro ověření nebo zablokované kontroly shody. Podrobný výstup stojí za uchování ze stejného důvodu, protože ukazuje požadavek, který selhal, a ne jen příznak.

Fungující příkaz nebo profil mějte u názvu brány, jakmile uspěje. Jinak další člověk, který se připojí, zopakuje stejný odhad značky proti protokolu.