Juniper- eller Pulse-gateway: hvilken OpenConnect-protokol skal du bruge

At vælge en protokol til OpenConnect er en parringsøvelse, ikke en brandsøgning. En gateway, der siger Juniper på login-siden, kan udstille Network Connect, Pulse eller begge, og klientens standard er ingen af dem. Gætteri koster et mislykket login og, værre, en supporttråd, der giver legitimationsoplysningerne skylden for en protokol-uoverensstemmelse. Bekræft tjenesten, før du skriver et værtsnavn ind i en profil.

OpenConnect kalder den ældre protokol nc og den nyere pulse, og begge bor i samme binære fil. Flaget, du vælger, ændrer login-udvekslingen, ikke routing efter en vellykket forbindelse.

De to protokolnavne deler en produkthistorie

Junipers Network Connect og den senere Pulse Secure-klient er forskellige protokoller, som én enhedsfamilie har udstillet gennem tiden. OpenConnect fik en nc-handler til den første og en pulse-handler til den anden. De er separate kodeveje med separate anmodningsformater, så support i den ene siger intet om den anden.

Forskellen viser sig straks i login-samtalen: endepunkter, formularfelter og måden, klienten rapporterer en afvist anden faktor, varierer mellem de to handlere.

Valget på kommandolinjen er en ændring på ét ord: openconnect --protocol=nc vpn.example.com til Network Connect eller openconnect --protocol=pulse vpn.example.com til Pulse. Begge forsøg er rigtige forbindelsesforsøg, der kan omkonfigurere ruter og DNS, så kør dem bevidst. Anbring aldrig en adgangskode på kommandolinjen, og slå ikke certifikatkontroller fra for at komme forbi en protokolfejl, da det skjuler uoverensstemmelsen i stedet for at rette den. Hvis du skal se, hvad klienten sender, udskriver --dump-http-traffic udvekslingen, som normalt identificerer den handler, gatewayen forventer.

Tilpas protokollen til det, gatewayen udstiller

Enheden svarer kun på den protokol, den er konfigureret til. En Pulse-only-tjeneste afviser et nc-login selv med gyldige legitimationsoplysninger, og en gammel Network Connect-tjeneste har ingen pulse-endepunkt at svare på. Spørg administratoren, hvilken der er aktiveret, og hvilken klient de understøtter. En omdøbt enhed, en forældet wiki-side og en velkendt webportal er alle svage beviser.

Når du kender protokollen, bekræft de omkringliggende krav: certifikat- eller token-godkendelse, valg af auth-gruppe og enhver endepunkts-compliance-kontrol. De afgør, om en kommandolinjeklient overhovedet kan fuldføre login.

Godkendelse kan afgøre spørgsmålet før protokollen

En udrulning kan kræve et klientcertifikat, en SAML-rundtur gennem en browser eller en værtskontrol, der inspicerer maskinen, før der gives adgang. OpenConnects pulse-handler dokumenterer kompatibilitetsgrænser for nogle af disse flows, og nc-handleren har sine egne huller. En adgangskode, der virker i browseren, beviser, at kontoen er gyldig; den beviser ikke, at en vilkårlig CLI eller desktop-plugin kan fuldføre den samme sekvens. Når en værtskontrol er i spil, har klienten brug for et wrapper-script fra administratoren. Uden det går login i stå efter det første svar og ser ud som en protokolfejl, når det i virkeligheden er et manglende compliance-trin.

Valg af auth-gruppe er det anden almindelige snublesteg, fordi en gateway med flere grupper forventer, at klienten angiver én.

På kommandolinjen leverer --authgroup="Employees" det valg, og hvis det udelades, kan sessionen havne i en standardgruppe, der afviser kontoen. Med certifikater peger --certificate på klientcertifikatet og nøglen, og gatewayen kan stadig kræve et token bagefter. Test hele sekvensen én gang med udførligt output, før du automatiserer noget omkring den.

Når desktop-frontenden ikke kan udtrykke valget

Grafiske frontends har deres egne funktionssæt, og et ældre plugin kan være ældre end den protokol, du har brug for. NetworkManagers OpenConnect-integration gemmer valget i sine forbindelsesdata, så nmcli connection modify "Office VPN" vpn.data "protocol=pulse" kan sætte det, editoren ikke viser. Kontroller, at den installerede plugin-version understøtter nøglen, før du antager, at ændringen har virket.

Hvis en menu kun tilbyder PPTP eller L2TP, gør valget af én ikke en Pulse-tjeneste til den protokol. Installer den godkendte integration i stedet for at skifte til, hvad menuen tilfældigvis viser.

Hvad skal du registrere, når login stadig fejler

Registrer fire ting: protokollen, du valgte, versionerne af klient og plugin, det forventede godkendelsesflow og den første fejl, der kom tilbage med en statuskode i stedet for en timeout. Det sæt adskiller en forkert handler fra et manglende certifikat, en afvist auth-gruppe eller en blokeret compliance-kontrol. Udførligt output er værd at gemme af samme grund, fordi det viser den anmodning, der fejlede, i stedet for kun symptomet.

Gem den fungerende kommando eller profil ved siden af gateway-navnet, når det lykkes. Ellers gentager den næste person, der forbinder, den samme brand-mod-protokol-gætten.