Vyřazení VPN klienti: nejprve určete protokol brány

Instalátory VPN klientů, jejichž podpora skončila před lety, stále běží, stále žádají profil a pak dokončí přihlášení, které nepropustí jediný paket. Počítač je aktuální a přihlašovací údaje správné, přesto je brána stejné zařízení, které firma koupila před deseti lety. Vyměnit klienta je správný krok, ale jen tehdy, když víte, který protokol ta brána publikuje. Čtyři vyřazení klienti v tomto koutě nemluví stejným.

Proč název značky protokol neprozradí

Jedna rodina zařízení může ukončovat několik protokolů vzdáleného přístupu a marketingový název na krabici neříká nic o tom, který používá váš účet. Zařízení Cisco nesla současně IPsec s XAuth a SSL VPN přes AnyConnect; krabice SonicWall nabízejí Global VPN Client přes IPsec a NetExtender přes SSL VPN; nasazení Juniper mohou vystavit Network Connect nebo novější protokol Pulse. Nainstalovat nástupce, který vypadá nejmoderněji, je hádání. Špatný tip buď selže při připojení, nebo autentizuje relaci, která nepřenáší žádný provoz.

Načtení portálové stránky v prohlížeči dokazuje, že webová služba odpovídá, ne že s ní konkrétní klient bude vyjednávat. Berte to jako dvě oddělená fakta.

Zeptejte se brány, jakým protokolem mluví

Nejlevnější způsob, jak zúžit možnosti, je přečíst, co koncový bod vrací, a pak při zkoušení klienta protokol výslovně pojmenovat. Ani jeden z těchto kroků na serveru nic nemění.

curl -sS -I https://vpn.example.com/ | head -n 5
openconnect --protocol=anyconnect vpn.example.com

Hlavičky odpovědi a cesta přihlášení ukazují, zda na té adrese žije portál SSL VPN, což ukazuje na AnyConnect, NetExtender nebo Pulse, a ne na klienta IPsec. openconnect staví volbu protokolu na příkazový řádek, takže selhání pojmenuje protokol, ne produkt; nahraďte ho za --protocol=npulse, když je nasazení Juniper. Zastavte se u prvního dotazu na přihlašovací údaje, které jste nedostali, protože funkční tunel přesto potřebuje schválený účet. Zapište protokol a cestu do změnového tiketu pro další stroj.

Zvažte čtyři kandidáty na náhradu

Čtyři cesty pokrývají téměř každý případ a nejsou zaměnitelné. Nástupce od dodavatele je podporovaná cesta, když organizace bránu vlastní a bude ji licencovat. OpenConnect je praktický otevřený klient, protože mluví AnyConnect, Network Connect a Pulse, když protokol pojmenujete, místo abyste ho nechali hádat.

strongSwan zvládá případ IPsec s XAuth pro organizace, které povolují klienty třetích stran, a zcela se vyhýbá opuštěnému kódu Cisco IPsec. Klient Shrew Soft dál čte profilové soubory Cisco a běží na některých sestaveních Windows, ale jeho poslední vydání bylo v roce 2013. Berte ho jako provizorní řešení, dokud se nezařídí podporovaná cesta.

Rozhodněte se mezi opravou a výměnou

Některé poruchy jsou místní: chybějící knihovna, zastaralý virtuální adaptér nebo instalátor, který potřebuje volbu opravy od dodavatele. Ty stojí za jeden pokus, dokud je klient podporovaný, protože zaberou minuty. Výpočet se mění, když je binárka mimo podporu a porucha přišla s aktualizací operačního systému, protože pravidla podpisu ovladačů a rozšíření jádra se od doby, kdy byli tito klienti napsáni, změnila. Klient, který se připojí, zatímco počítadlo tunelu ukazuje nula navázaných relací, je obvykle za hranicí opravy, ne jednu reinstalaci daleko.

Nechte starého klienta nainstalovaného jen tak dlouho, abyste exportovali jeho profil, a pak ho odstraňte. Dva VPN klienti soutěžící o stejné trasy vytvářejí příznaky, které nepřipomínají ani jednoho z nich.

Napište do tiketu pořadí: protokol a schválený klient od vlastníka, podporovaný nástupce, pokud se nainstaluje, jeden otevřený klient vyzkoušený na jediném stroji, pokud ne, a podporovaná přístupová cesta, pokud nefunguje ani jedno. Tento sled zabrání dalšímu člověku stáhnout si další vyřazenou binárku.