Gatwe Juniper neu Pulse: pa brotocol OpenConnect i'w ddefnyddio

Mae dewis protocol ar gyfer OpenConnect yn ymarferiad paru, nid chwiliad brand. Gall gatwe sy'n dweud Juniper ar y dudalen fewngofnodi ddatgelu Network Connect, Pulse neu'r ddau, ac nid yw rhagosodiad y cleient yn un ohonynt. Mae dyfalu yn costio mewngofnodiad aflwyddiannus ac, yn waeth, edefyn cymorth sy'n beio'r credlynnau am anghysondeb protocol. Cadarnhewch y gwasanaeth cyn i chi deipio enw lletywr mewn proffil.

Mae OpenConnect yn enwi'r protocol hŷn yn nc a'r un mwy newydd yn pulse, ac mae'r ddau yn byw yn yr un deuaidd. Mae'r fflag a ddewiswch yn newid y gyfnewidfa fewngofnodi, nid y llwybro sy'n dilyn cysylltiad llwyddiannus.

Mae'r ddau enw protocol yn rhannu un hanes cynnyrch

Mae Network Connect Juniper a'r cleient Pulse Secure diweddarach yn brotocolau gwahanol y mae un teulu o offer wedi'u datgelu dros amser. Tyfodd OpenConnect ddolen nc ar gyfer y cyntaf a dolen pulse ar gyfer yr ail. Llwybrau cod ar wahân gyda fformatau cais ar wahân ydynt, felly nid yw cymorth yn y naill yn dweud dim am y llall.

Mae'r gwahaniaeth yn ymddangos ar unwaith yn sgwrs y mewngofnodiad: mae pwyntiau terfyn, meysydd ffurflen, a'r ffordd y mae'r cleient yn adrodd am ail ffactor a wrthodwyd yn amrywio rhwng y ddau ddolen.

Mae dewis ar y llinell orchymyn yn newid un gair: openconnect --protocol=nc vpn.example.com ar gyfer Network Connect, neu openconnect --protocol=pulse vpn.example.com ar gyfer Pulse. Mae'r ddau gynnig yn gysylltiadau go iawn a all ailosod llwybrau a DNS, felly rhedwch nhw'n fwriadol. Peidiwch byth â rhoi cyfrinair ar y llinell orchymyn na diffodd gwiriadau tystysgrif i fynd heibio gwall protocol, oherwydd mae hynny'n cuddio'r anghysondeb yn lle ei drwsio. Os oes angen i chi weld beth mae'r cleient yn ei anfon, mae --dump-http-traffic yn argraffu'r gyfnewidfa, sy'n nodi fel arfer y ddolen y mae'r gatwe yn ei disgwyl.

Parwch y protocol â'r hyn y mae'r gatwe yn ei ddatgelu

Nid yw'r offeryn yn ateb ond y protocol y mae wedi'i ffurfweddu ar ei gyfer. Mae gwasanaeth Pulse yn unig yn gwrthod mewngofnodiad nc hyd yn oed gyda chredlynnau dilys, ac nid oes gan hen wasanaeth Network Connect bwynt terfyn pulse i ateb. Gofynnwch i'r gweinyddwr pa un sydd wedi'i alluogi, a gofynnwch pa gleient maen nhw'n ei gefnogi. Mae offeryn wedi'i ailenwi, tudalen wici hen a phorth we gyfarwydd i gyd yn dystiolaeth wan.

Unwaith y byddwch yn gwybod y protocol, cadarnhewch y gofynion o'i amgylch: dilysu tystysgrif neu docyn, dewis grŵp dilysu, ac unrhyw wiriad cydymffurfio pwynt terfyn. Mae'r rhain yn penderfynu a all cleient llinell orchymyn orffen y mewngofnodiad o gwbl.

Gall dilysu setlo'r cwestiwn cyn y protocol

Gall defnyddiad fod yn gofyn am dystysgrif cleient, taith SAML drwy borwr, neu wiriwr lletywr sy'n archwilio'r peiriant cyn rhoi mynediad. Mae dolen pulse OpenConnect yn dogfennu terfynau cydnawsedd ar gyfer rhai o'r ffrydiau hyn, ac mae gan y ddolen nc fylchau ei hun. Mae cyfrinair sy'n gweithio yn y porwr yn profi bod y cyfrif yn ddilys; nid yw'n profi y gall unrhyw CLI neu ategyn bwrdd gwaith gwblhau'r un dilyniant. Pan fo gwirydd lletywr yn rhan o'r darlun, mae'r cleient angen sgript lapio a ddarperir gan y gweinyddwr. Hebddi, mae'r mewngofnodiad yn aros ar ôl yr ymateb cyntaf ac yn edrych fel methiant protocol pan fo'n gam cydymffurfio ar goll mewn gwirionedd.

Dewis grŵp dilysu yw'r trybini cyffredin arall, oherwydd mae gatwe â sawl grŵp yn disgwyl i'r cleient enwi un.

Ar y llinell orchymyn, mae --authgroup="Employees" yn darparu'r dewis hwnnw, ac mae ei hepgor yn gallu glanio'r sesiwn mewn grŵp rhagosodedig sy'n gwrthod y cyfrif. Gyda thystysgrifau, mae --certificate yn pwyntio at dystysgrif a allwedd y cleient, a gall y gatwe o hyd fod angen tocyn wedyn. Profwch y dilyniant llawn unwaith gyda allbwn manwl cyn awtomeiddio unrhyw beth o'i amgylch.

Pan na all y blaen bwrdd gwaith fynegi'r dewis

Mae blaenau graffigol yn cario eu setiau nodweddion eu hunain, a gall hen ategyn ragflaenu'r protocol sydd ei angen arnoch. Mae integreiddiad OpenConnect NetworkManager yn storio'r dewis yn ei ddata cysylltiad, felly gall nmcli connection modify "Office VPN" vpn.data "protocol=pulse" osod yr hyn nad yw'r golygydd yn ei ddangos. Gwiriwch fod y fersiwn ategyn sydd wedi'i osod yn cefnogi'r allwedd cyn tybio bod y golygiad wedi cymryd effaith.

Os nad yw bwydlen yn cynnig ond PPTP neu L2TP, nid yw dewis un yn troi gwasanaeth Pulse yn y protocol hwnnw. Gosodwch y gweithrediad cymeradwy yn lle newid i beth bynnag y mae'r fwydlen yn digwydd ei restru.

Beth i'w gofnodi pan fydd y mewngofnodiad yn dal i fethu

Cofnodwch bedair peth: y protocol a ddewiswyd gennych, fersiynau'r cleient a'r ategyn, y llif dilysu a ddisgwylid, a'r gwall cyntaf a ddaeth yn ôl â chod statws yn lle goramser. Mae'r set hon yn gwahanu dolen anghywir oddi wrth dystysgrif ar goll, grŵp dilysu a wrthodwyd, neu wiriad cydymffurfio wedi'i rwystro. Mae allbwn manwl yn werth ei gadw am yr un rheswm, oherwydd mae'n dangos y cais a fethodd yn lle dim ond y symptom.

Cadwch y gorchymyn neu'r proffil sy'n gweithio wrth enw'r gatwe unwaith y bydd yn llwyddo. Fel arall bydd y person nesaf i gysylltu yn ailadrodd yr un dyfaliad brand yn erbyn protocol.